白眉大叔 描述
特权容器具有所有系统功能，并且还消除了设备cgroup控制器强制执行的所有限制。 换句话说，容器可以完成主机可以做的几乎所有事情。 存在此标志是为了允许特殊用例，例如在Docker中运行Docker，因此应避免在生产工作负载中使用。 影响： 您将无法运行任何特权容器。 注意：Kubernetes集群目前使用的许多组件都使用特权容器（例如Container Network Interface插件）。应该注意确保最小化此类插件的使用，尤其是应仔细检查对kube-system名称空间之外的特权容器的任何使用。在可能的情况下，查看此类插件所需的权限，以确定是否可以应用更细粒度的权限集。
加固建议
1.在主节点上编辑 api server 配置文件 /etc/kubernetes/manifests/kube-apiserver.yaml
spec:
containers:
- command:
- kube-apiserver
- --allow-privileged=false2.重启k8s服务
systemctl daemon-reload && systemctl restart kubelet
或
编辑主节点上的/ etc / kubernetes / config文件，并将KUBE_ALLOW_PRIV参数设置为“ --allow-privileged = false”： KUBE_ALLOW_PRIV =“-allow-privileged = false”
根据您的系统，重新启动kube-apiserver服务。 例如：systemctl restart kube-apiserver.service
操作时建议做好记录或备份
欢迎来撩 ： 汇总all
