2021年CKA考试真题（二）

我就是我 2022-10-22 06:29 439阅读 0赞

# 直通车 #

*  [2021年CKA考试真题（二）][2021_CKA]
 *  [2021年CKA考试真题（三）][2021_CKA 1]
 *  [2021年CKA考试真题（四）][2021_CKA 2]
 *  [2021年CKA考试模拟题（五）][2021_CKA 3]
 *  [2021年CKA考试模拟题（六）][2021_CKA 4]
 *  [2021年CKA考试模拟题（七）][2021_CKA 5]
 *  [2021年CKA考试模拟题（八）][2021_CKA 6]
 *  [2021年CKA考试模拟题（九）][2021_CKA 7]
 *  [2021年CKA考试模拟题（十）][2021_CKA 8]
 *  [2021年CKA考试模拟题（十一）][2021_CKA 9]

# 前言 #

上一篇文章跟大家介绍了关于CKA考试相关的准备资料，以及一些经验，本章开始将带大家来一起进入真题练习。

# 本章考点 #

*  RBAC，参考：[RBAC][]
 *  NetworkPolicy，参考：[NetworkPolicy][]
 *  Voulme，参考：[volumes][]

# 考试真题 #

--------------------

### （一） ###

Create a service account name dev-sa in default namespace, dev-sa can create below components in dev namespace:

*  Deployment
 *  StatefulSet
 *  DaemonSet

### 解题思路 ###

本题目考测RBAC，题意是创建一个service account，该service account具有在命名空间dev下创建Deployment, StatefulSet, DaemonSet的权限。我们首先应创建符合题目要求的service account以及role，然后再通过role binding进行授予权限，注意题目提及到两个命名空间。

### 答案 ###

1.  首先我们创建一个serviceaccount

## 创建名为dev-sa的service account
    $ kubectl create sa dev-sa -n default

1.  接下来给该SA赋予指定权限

## 创建能create 以上三个组件的role，在dev的namespace下
    $ kubectl create role sa-role -n dev \
    --resource=deployment,statefulset,daemonset --verb=create
    ## 创建role binding，授予service account权限
    $ kubectl create rolebinding sa-rolebinding -n dev \
    --role=sa-role --serviceaccount=default:dev-sa

1.  最后可以通过以下命令，来验证是否成功。如果返回yes，则证明可以，否则反之。

$ kubectl auth can-i create deployment -n dev \
    --as=system:serviceaccount:default:dev-sa
    YES

--------------------

### （二） ###

Create a pod name log, container name log-pro use image busybox, output the important information at /log/data/output.log. Then another container name log-cus use image busybox, load the output.log at /log/data/output.log and print it. Note, this log file only can be share within the pod.

### 解题思路 ###

本题目考测pod概念和volume，题意是创建具有两个容器的pod，其中一个容器向/log/data/output.log写入一些信息，另外一个容器则要把该log文件加载到应用中并输出。需要注意的是，题目有说到这log文件仅允许在当前pod中使用，因此我们用emptyDir来解决问题。题目没有提及namespace，则默认选择default。

### 答案 ###

1.  首先通过run命令输出yaml文件，再在其基础上去修改。

$ kubectl run log --image=busybox --dry-run=client -oyaml \
    > log-pod.yaml

我们得到了以下的文件

apiVersion: v1
    kind: Pod
    metadata:
      creationTimestamp: null
      labels:
        run: log
      name: log
    spec:
      containers:
      - image: busybox
        name: log
        resources: { }
      dnsPolicy: ClusterFirst
      restartPolicy: Always

根据题目修改，vim log-pod.yaml 最终得到

apiVersion: v1
    kind: Pod
    metadata:
      creationTimestamp: null
      labels:
        run: log
      name: log
    spec:
      containers:
      - image: busybox
        name: log-pro
        # busybox一定要执行sleep命令
        command: ["sh","-c","echo important information >> /log/data/output.log;sleep 1d"]
        volumeMounts:
        - name: date-log
          mountPath: /log/data
        resources: { }
      - image: busybox
        name: log-cus
        command: ["sh","-c","cat /log/data/output.log;sleep 1d"]
        volumeMounts:
        - name: date-log
          mountPath: /log/data
      dnsPolicy: ClusterFirst
      restartPolicy: Always
      volumes:
      - name: date-log
        emptyDir: { }

通过命令查看log-cus是否有print出期望的日志

$ kubectl logs log -c log-cus
    #也可以通过以下命令，查看容器内是否创建了log文件
    $ kubectl exec -it log -c log-pro -- cat /log/data/output.log

--------------------

### （三） ###

Only pods that in the internal namespace can access to the pods in mysql namespace via port 8080/TCP.

### 解题思路 ###

本题目考测network policy，题意为只有在命名空间为internal的pod，才可以通过TCP协议8080端口访问到在命名空间为mysql的pod，因此使用NP的ingress来解答。

### 答案 ###

1.  我们可以基于官方文档network policy 的定义来进行修改，其中podSelector是NP生效应用的对象，from.namespaceSelector是指可以访问的来源对象。

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: cka-network
      namespace: mysql
    spec:
      ## 这里pod selector不填，则默认选择它所在命名空间下的所有pod
      podSelector: { }
      policyTypes:
      - Ingress
      ingress:
      - from:
        - namespaceSelector:
            matchLabels:
              ## 这里配置的label，如果命名空间internal没有该标签，则应先给它加上
              ns: internal
        ports:
        - protocol: TCP
          port: 8080

1.  查看internal的命名空间是否具有上面文件定义的标签ns=internal

#查看命名空间的标签，是否存在label ns=internal
    $ kubectl get namespace --show-labels

没有则创建，其实这里大家可以随便定义标签，只要能对应上定义文件的namespaceSelector即可。

$ kubectl label namespace internal ns=internal

1.  最后创建NP

#创建network policy
    $ kubectl apply -f networkPolicy.yaml

我们遇到关于Network policy的题目时，一定要先理解清楚题意，再来决定用的是ingress或egress。

[2021_CKA]: https://blog.csdn.net/shuoshuo132/article/details/115432804
[2021_CKA 1]: https://blog.csdn.net/shuoshuo132/article/details/115438711
[2021_CKA 2]: https://blog.csdn.net/shuoshuo132/article/details/115472285
[2021_CKA 3]: https://blog.csdn.net/shuoshuo132/article/details/115533307
[2021_CKA 4]: https://blog.csdn.net/shuoshuo132/article/details/115643238
[2021_CKA 5]: https://blog.csdn.net/shuoshuo132/article/details/115888851
[2021_CKA 6]: https://blog.csdn.net/shuoshuo132/article/details/115921181
[2021_CKA 7]: https://blog.csdn.net/shuoshuo132/article/details/116292339
[2021_CKA 8]: https://blog.csdn.net/shuoshuo132/article/details/116347381
[2021_CKA 9]: https://blog.csdn.net/shuoshuo132/article/details/117013273
[RBAC]: https://kubernetes.io/docs/reference/access-authn-authz/rbac/
[NetworkPolicy]: https://kubernetes.io/docs/concepts/services-networking/network-policies/
[volumes]: https://kubernetes.io/docs/concepts/storage/volumes/