Kubo Blog

Technical articles on Kubernetes, K3s, and Proxmox

K3sもKubernetesも"デフォルトのServiceAccount"が同じ罠を持っている。マルチテナント環境でautomountを放置すると何が起きるか

K3s vs K8sを比較しても、defaultのServiceAccountが抱えるautomountの罠は変わらない。マルチテナント環境での権限昇格リスクと、実際のCVEを交えた4層の対策を解説する。

K3sのパッチリリースでcontainerdがv1からv2に切り替わり、カスタム設定テンプレートが効かなくなった実例から、Kubernetes公式のバージョンスキューポリシーが見ていない場所で起きる非互換変更を解説する。

KubernetesのHPAはPod内の全コンテナの使用量を合算して利用率を計算するため、Istioサイドカーやログエージェントの負荷が判定を薄める。ContainerResourceメトリクスで解決する方法をK3s/Kubo文脈で解説する。

K3sはFlannelをデフォルト同梱し、標準KubernetesはCNI未選定の状態から始まる。この出発点の違いがNetworkPolicyの可否や通信性能にどう影響するかを、K3s/Kubernetes/Calico/Ciliumの公式ドキュメントをもとに比較・解説する。

K3s本番でノードをdrainしたら一部PodがPendingのまま戻らなかった。原因はTopology Spread ConstraintsのmaxSkewとPodDisruptionBudgetの衝突。drainがノード数不足を自ら作り出す仕組みを公式ドキュメントベースで検証する。

KyvernoのClusterPolicyが廃止へ向かう中、ValidatingAdmissionPolicy（CEL）に移行したら一部リソースだけ検証が素通りしていた。原因のCELランタイムエラーとfailurePolicyの罠、安全な移行手順を解説する。

VPAのInPlaceOrRecreateモードとIn-Place Pod ResizeでPodは本当に再起動しないのか。K3s環境でQoSクラス制約とcgroup v1の罠を実際の設定例とkubectlコマンドで検証する。

K3sでPod Security Admissionのrestrictedプロファイルを有効化したら、標準Kubernetesのガイド通りに進めたのにServiceLBが機能停止した。原因と安全な導入手順をK3s公式ハードニングガイドの記述とともに解説する。

K3sクラスタをGitOpsで再構築したらSealed Secretsが全て復号できない状態に陥った。原因は秘密鍵の扱いにある。障害の仕組みと復旧手順、再発防止の運用設計を解説する。

K3s標準のlocal-path-provisionerはCSIスナップショット非対応。Veleroのバックアップが"Completed"でも、障害時のリストアでPVCが空になることがある。原因の切り分けとFile System Backup・リストアドリルによる対策を解説する。