27.5.3. Ceph 볼륨 보안

공유 볼륨(NFS 및 GlusterFS)과 블록 볼륨(Ceph RBD, iSCSI, 대부분의 클라우드 스토리지)의 중요한 차이점은 포드 정의 또는 컨테이너 이미지에 정의된 사용자 및 그룹 ID가 대상 물리 스토리지에 적용된다는 것입니다. 이를 블록 장치의 소유권 관리라고 합니다. 예를 들어 Ceph RBD 마운트에 소유자가 123 이고 그룹 ID가 567 로 설정되어 있고 포드에서 runAsUser를 222 로 정의하고 fsGroup 을 7777로 정의하는 경우 Ceph RBD 물리적 마운트의 소유권이 222:7777 로 변경됩니다.

포드는 Pod의 securityContext 정의에서 fsGroup 스탠자를 사용하여 Ceph RBD 볼륨의 그룹 소유권을 정의합니다.

spec:
  containers:
    - name:
    ...
  securityContext: 1
    fsGroup: 7777 2