无法访问c:\windows\system32\config

在Kubernetes（K8S）中，限制容器访问主机的敏感数据是非常重要的，比如禁止容器访问 C 盘的敏感文件。这篇文章将教您如何在K8S中实现“无法访问c:\windows\system32\config”。

整个过程可以分为以下几个步骤：

| 步骤 | 描述 |
| ---- | ------------------------------ |
| 1 | 创建一个 ServiceAccount |
| 2 | 创建一个 Role |
| 3 | 创建一个 RoleBinding |
| 4 | 在 Pod 中使用该 ServiceAccount |

接下来让我们一步步实现：

### 步骤一：创建一个 ServiceAccount

首先我们需要创建一个 ServiceAccount，用于为 Pod 提供身份验证。

```yaml
apiVersion: v1
kind: ServiceAccount
metadata:
name: deny-access-sa
```

### 步骤二：创建一个 Role

然后我们需要创建一个 Role，定义该 ServiceAccount 的权限，限制其访问主机敏感文件。

```yaml
kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
namespace: default
name: deny-access-role
rules:
- apiGroups: [""]
resources: ["nodes"]
verbs: ["get"]
```

### 步骤三：创建一个 RoleBinding

接下来我们需要创建一个 RoleBinding，将 Role 绑定到 ServiceAccount 上。

```yaml
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: deny-access-rolebinding
namespace: default
roleRef:
apiGroup: rbac.authorization.k8s.io
kind: Role
name: deny-access-role
subjects:
- kind: ServiceAccount
name: deny-access-sa
namespace: default
```

### 步骤四：在 Pod 中使用该 ServiceAccount

最后，在需要访问该 ServiceAccount 的 Pod 中进行如下配置：

```yaml
apiVersion: v1
kind: Pod
metadata:
name: deny-access-pod
spec:
serviceAccountName: deny-access-sa
containers:
- name: deny-access-container
image: nginx
```

通过以上步骤，我们成功创建了一个 ServiceAccount 并限制了其访问敏感文件的权限，然后将该 ServiceAccount 绑定到一个 Role 上，并在需要的 Pod 中使用该 ServiceAccount。

现在，这名刚入行的小白也可以通过以上步骤来实现“无法访问c:\windows\system32\config”了。希望这篇文章对您有所帮助！