k8s 笔不能写

**实现“k8s 笔不能写”教程**

作为一位经验丰富的开发者，今天我将教会你如何在K8S中实现“k8s 笔不能写”的功能。首先，我们需要了解整个过程的流程，然后逐步实现每个步骤。

### 流程概述

| 步骤 | 操作 |
| ---- | ---- |
| 1 | 创建一个Pod，并使用Pod Security Policies来限制其权限 |
| 2 | 创建一个Service来暴露Pod |
| 3 | 测试Pod是否禁止写入 |

### 具体步骤

#### 步骤一：创建一个Pod并使用Pod Security Policies

首先，我们需要定义一个Pod，并设置Pod Security Policies来限制其权限。创建一个名为`not-allowed-pod.yaml`的文件，内容如下：

```yaml
apiVersion: v1
kind: Pod
metadata:
name: not-allowed-pod
spec:
containers:
- name: busybox
image: busybox
command: ['sh', '-c', 'echo "This is not allowed!" > /testfile']
securityContext:
readOnlyRootFilesystem: true
```

在这个文件中，我们定义了一个名为`not-allowed-pod`的Pod，其中包含一个容器`busybox`，并在容器内使用命令限制写入根文件系统。`readOnlyRootFilesystem: true`表示根文件系统为只读。

#### 步骤二：创建一个Service

接下来，我们需要创建一个Service，来暴露Pod供其他服务访问。创建一个名为`not-allowed-svc.yaml`的文件，内容如下：

```yaml
apiVersion: v1
kind: Service
metadata:
name: not-allowed-svc
spec:
selector:
app: not-allowed-pod
ports:
- protocol: TCP
port: 80
targetPort: 80
```

在这个文件中，我们定义了一个名为`not-allowed-svc`的Service，将流量导向选择器为`app: not-allowed-pod`的Pod。

#### 步骤三：测试Pod是否禁止写入

最后，我们可以通过在Pod中执行写入操作来测试是否成功限制写入。通过以下命令来访问Pod：

```bash
kubectl exec -it not-allowed-pod -- /bin/sh
```

然后尝试执行写入文件的命令：

```bash
echo "Test" > /testfile
```

如果一切正常，你将会看到类似如下错误提示：`sh: can't create /testfile: Read-only file system`，这说明写入被成功限制。

通过以上步骤，你已经成功实现了“k8s 笔不能写”的功能。希望这篇教程对你有所帮助，祝你在K8S的学习之旅中越走越远！