第 2 章 在裸机上部署机密容器

initdata 规格提供了一种灵活的方法，来在运行时初始化带有特定于工作负载的数据的 pod，以避免在虚拟机(VM)镜像中嵌入此类数据。

这种方法通过减少机密信息的风险，并通过删除自定义镜像构建来提高灵活性来提高安全性。例如，initdata 可以包含三个配置设置：

initdata 内容配置以下组件：

您可以创建一个 initdata.toml 文件，并将其转换为 Base64 编码的 gzip-format 字符串。您可以通过在 pod 清单中添加注解来将 initdata 字符串应用到工作负载。

您可以选择 Operator 如何使用部署模式 MachineConfig、DaemonSet 或 DaemonSetFallback 来安装和配置 Kata 运行时。您可以在 osc-feature-gates 配置映射中指定 data.deploymentMode 键。通过这种灵活性，Operator 可以在带有或不使用 Machine Config Operator (MCO)的集群中一致工作。