diff --git a/content/zh-cn/docs/reference/access-authn-authz/webhook.md b/content/zh-cn/docs/reference/access-authn-authz/webhook.md index 96603376b984a..496921aa2c38a 100644 --- a/content/zh-cn/docs/reference/access-authn-authz/webhook.md +++ b/content/zh-cn/docs/reference/access-authn-authz/webhook.md @@ -19,8 +19,8 @@ weight: 36 -WebHook 是一种 HTTP 回调：某些条件下触发的 HTTP POST 请求；通过 HTTP POST -发送的简单事件通知。一个基于 web 应用实现的 WebHook 会在特定事件发生时把消息发送给特定的 URL。 +Webhook 是一种 HTTP 回调：某些条件下触发的 HTTP POST 请求；通过 HTTP POST +发送的简单事件通知。一个基于 web 应用实现的 Webhook 会在特定事件发生时把消息发送给特定的 URL。 @@ -129,8 +129,9 @@ action. This object contains fields describing the user attempting to make the request, and either details about the resource being accessed or requests attributes. --> -在做认证决策时，API 服务器会 POST 一个 JSON 序列化的 `authorization.k8s.io/v1beta1` `SubjectAccessReview` -对象来描述这个动作。这个对象包含了描述用户请求的字段，同时也包含了需要被访问资源或请求特征的具体信息。 +在做认证决策时，API 服务器会 POST 一个 JSON 序列化的 `authorization.k8s.io/v1beta1` +`SubjectAccessReview` 对象来描述这个动作。这个对象包含了描述用户请求的字段， +同时也包含了需要被访问资源或请求特征的具体信息。 -对于非资源的路径访问是这么发送的: +对于非资源的路径访问是这么发送的： ```json { @@ -262,12 +263,13 @@ Access to non-resource paths are sent as: {{< feature-state feature_gate_name="AuthorizeWithSelectors" >}} -启用 `AuthorizeWithSelectors` 特性后，请求中的字段和标签选择算符将被传递给授权 Webhook。 -此 Webhook 可以根据作用域字段和标签选择算符做出授权决策（如果它愿意的话）。 +当调用授权 Webhook 时，Kubernetes 会在请求中向授权 Webhook 传递标签和字段选择器。 +此授权 Webhook 可以根据作用域字段和标签选择算符做出授权决策（如果它愿意的话）。 [SubjectAccessReview API 文档](/zh-cn/docs/reference/kubernetes-api/authorization-resources/subject-access-review-v1/)提供了这些字段应如何被授权 -Webhook 解释和处理的指南，特别是应使用解析后的要求而不是原始选择算符字符串，以及如何安全地处理未识别的操作符。 +Webhook 解释和处理的指南，特别是应使用解析后的要求而不是原始选择算符字符串， +以及如何安全地处理未识别的操作符。 ```json { @@ -328,4 +331,4 @@ and --> 更多信息请参阅 [SubjectAccessReview API 文档](/zh-cn/docs/reference/kubernetes-api/authorization-resources/subject-access-review-v1/)和 -[webhook.go 实现](https://github.com/kubernetes/kubernetes/blob/master/staging/src/k8s.io/apiserver/plugin/pkg/authorizer/webhook/webhook.go)。 +[`webhook.go` 实现](https://github.com/kubernetes/kubernetes/blob/master/staging/src/k8s.io/apiserver/plugin/pkg/authorizer/webhook/webhook.go)。 diff --git a/content/zh-cn/docs/reference/glossary/persistent-volume.md b/content/zh-cn/docs/reference/glossary/persistent-volume.md index 7b637c3c1303c..00657a6db39ab 100644 --- a/content/zh-cn/docs/reference/glossary/persistent-volume.md +++ b/content/zh-cn/docs/reference/glossary/persistent-volume.md @@ -5,7 +5,6 @@ date: 2018-04-12 full_link: /zh-cn/docs/concepts/storage/persistent-volumes/ short_description: > 持久卷是代表集群中一块存储空间的 API 对象。 - 它是通用的、可插拔的、并且不受单个 Pod 生命周期约束的持久化资源。 aka: tags: @@ -18,7 +17,7 @@ id: persistent-volume date: 2018-04-12 full_link: /docs/concepts/storage/persistent-volumes/ short_description: > - An API object that represents a piece of storage in the cluster. Available as a general, pluggable resource that persists beyond the lifecycle of any individual Pod. + An API object that represents a piece of storage in the cluster. aka: tags: @@ -27,10 +26,14 @@ tags: --> -持久卷是代表集群中一块存储空间的 API 对象。它是通用的、可插拔的、并且不受单个 -{{< glossary_tooltip text="Pod" term_id="pod" >}} 生命周期约束的持久化资源。 +持久卷是代表集群中一块存储空间的 API 对象。 +表示为一般的、可插拔的存储{{< glossary_tooltip text="资源" term_id="infrastructure-resource" >}}， +它可以超越任何单独的 {{< glossary_tooltip text="Pod" term_id="pod" >}} +的生命周期而存在。 @@ -39,6 +42,6 @@ PersistentVolumes (PVs) provide an API that abstracts details of how storage is PVs are used directly in scenarios where storage can be created ahead of time (static provisioning). For scenarios that require on-demand storage (dynamic provisioning), PersistentVolumeClaims (PVCs) are used instead. --> -持久卷（PersistentVolumes，PV）提供了一个 API，该 API 对存储的供应方式细节进行抽象，令其与使用方式相分离。 -在提前创建存储（静态供应）的场景中，PV 可以直接使用。 -在按需提供存储（动态供应）的场景中，需要使用 PersistentVolumeClaims (PVC)。 +持久卷（PersistentVolumes，PV）提供了一个 API，该 API 对存储的供应方式细节进行抽象， +令其与使用方式相分离。在提前创建存储（静态制备）的场景中，PV 可以直接使用。 +在按需提供存储（动态制备）的场景中，需要使用 PersistentVolumeClaim（PVC）。 diff --git a/content/zh-cn/docs/reference/glossary/pod-security-policy.md b/content/zh-cn/docs/reference/glossary/pod-security-policy.md index 93081b2aeecdc..229cd9511d0a0 100644 --- a/content/zh-cn/docs/reference/glossary/pod-security-policy.md +++ b/content/zh-cn/docs/reference/glossary/pod-security-policy.md @@ -4,12 +4,11 @@ id: pod-security-policy date: 2018-04-12 full_link: /zh-cn/docs/concepts/security/pod-security-policy/ short_description: > - 为 Pod 的创建和更新操作启用细粒度的授权。 + 移除了强制执行 Pod 安全限制的 API。 aka: tags: -- core-object -- fundamental +- security --- - -为 {{< glossary_tooltip text="Pod" term_id="pod" >}} 的创建和更新操作启用细粒度的授权。 +以前的 Kubernetes API，在 {{< glossary_tooltip text="Pod" term_id="pod" >}} +创建和更新期间强制执行安全限制。 - - -Pod 安全策略是集群级别的资源，它控制着 Pod 规约中的安全性敏感的内容。 -`PodSecurityPolicy` 对象定义了一组条件以及相关字段的默认值，Pod -运行时必须满足这些条件。Pod 安全策略控制实现上体现为一个可选的准入控制器。 - PodSecurityPolicy 已于 Kubernetes v1.21 起弃用，并在 v1.25 中删除。 -作为替代方案，请使用 [Pod 安全准入](/zh-cn/docs/concepts/security/pod-security-admission/)或第三方准入插件。 +作为替代方案，请使用 +[Pod 安全准入](/zh-cn/docs/concepts/security/pod-security-admission/)或第三方准入插件。 diff --git a/content/zh-cn/docs/reference/node/kernel-version-requirements.md b/content/zh-cn/docs/reference/node/kernel-version-requirements.md index e089373a0841b..e4c2f7c1064f0 100644 --- a/content/zh-cn/docs/reference/node/kernel-version-requirements.md +++ b/content/zh-cn/docs/reference/node/kernel-version-requirements.md @@ -107,20 +107,34 @@ In runc document, Kernel older than 5.2 is not recommended due to lack of freeze --> ## v2 控制组 {#version2-control-groups} -Kubernetes 对 cgroup v1 的支持从 v1.31 开始处于维护模式；推荐使用 cgroup v2。 +Kubernetes 对 CGroup v1 的支持从 v1.31 开始处于维护模式；推荐使用 CGroup v2。 在 [Linux 5.8](https://github.com/torvalds/linux/commit/4a7e89c5ec0238017a757131eb9ab8dc111f961c) -中，为了方便使用，系统层面的 `cpu.stat` 文件被添加到根 cgroup。 +中，为了方便使用，系统层面的 `cpu.stat` 文件被添加到根 CGroup。 在 runc 文档中，不推荐使用低于 5.2 的内核，因为其缺少冻结特性。 ## 压力阻塞信息（PSI）{#requirements-psi} -Linux 内核 v4.20 及更高版本支持[压力阻塞信息](/zh-cn/docs/reference/instrumentation/node-metrics#psi)。 +Linux 内核 v4.20 及更高版本支持[压力阻塞信息](/zh-cn/docs/reference/instrumentation/node-metrics#psi)， +但需要以下配置： + + +- 内核必须使用 `CONFIG_PSI=y` 选项进行编译（大多数现代发行版默认启用此选项）。 + 你可以通过运行 `zgrep CONFIG_PSI /proc/config.gz` 来检查内核的配置。 +- 某些 Linux 发行版可能会将 PSI 编译进内核，但默认情况下是禁用的。 + 如果是这样，你需要在启动时通过向内核命令行添加 `psi=1` 参数来启用它。 -- 查阅 [sysctls](/zh-cn/docs/tasks/administer-cluster/sysctl-cluster/) 以获取更多细节。 +- 查阅 [sysctl](/zh-cn/docs/tasks/administer-cluster/sysctl-cluster/) 以获取更多细节。 - 允许在 [nftables 模式](/zh-cn/docs/reference/networking/virtual-ips/#proxy-mode-nftables)下运行 kube-proxy。 -- 参阅 [cgroups v2](/zh-cn/docs/concepts/architecture/cgroups/)。 +- 参阅 [CGroup v2](/zh-cn/docs/concepts/architecture/cgroups/)。