第 3 章 在 Microsoft Azure Red Hat OpenShift 上部署机密容器

要让对等 pod 与外部网络（如公共互联网）通信，您必须为 pod 虚拟机(VM)子网配置出站连接。这涉及设置 NAT 网关，并选择性地定义子网如何在 Azure 中与集群的虚拟网络(VNet)集成。

您可以通过两种方式配置出站连接：

您必须确保集群有足够的资源。

对等 pod 虚拟机(VM)需要位于两个位置的资源：

Kubernetes worker 节点中使用的 CPU 和内存资源由 RuntimeClass (kata-remote)定义中包含的 pod 开销 处理，用于创建对等 pod。

在云中运行的对等 pod 虚拟机总数定义为 Kubernetes 节点扩展资源。这个限制是每个节点，由 peer-pods-cm 配置映射中的 PEERPODS_LIMIT_PER_NODE 属性设置。

扩展资源名为 kata.peerpods.io/vm，并允许 Kubernetes 调度程序处理容量跟踪和核算。

在安装 OpenShift 沙盒容器 Operator 后，您可以根据环境要求编辑每个节点的限制。

变异 Webhook 将扩展的资源 kata.peerpods.io/vm 添加到 pod 规格中。如果存在，它还会从 pod 规格中删除任何特定于资源的条目。这可让 Kubernetes 调度程序考虑这些扩展资源，确保仅在资源可用时调度对等 pod。

变异 Webhook 修改 Kubernetes pod，如下所示：

initdata 规格提供了一种灵活的方法，来在运行时初始化带有特定于工作负载的数据的 pod，以避免在虚拟机(VM)镜像中嵌入此类数据。

这种方法通过减少机密信息的风险，并通过删除自定义镜像构建来提高灵活性来提高安全性。例如，initdata 可以包含三个配置设置：

initdata 内容配置以下组件：

您可以创建一个 initdata.toml 文件，并将其转换为 Base64 编码的 gzip-format 字符串。您可以使用以下方法之一将 initdata 字符串应用到工作负载：

然后，您可以从 initdata 文件创建哈希。这个哈希值是必需的，作为红帽构建的 Trustee 的 Reference Value Provider Service (RVPS)配置映射。