创建 Windows HostProcess Pod

Windows HostProcess 容器使您能够在 Windows 主机上运行容器化工作负载。这些容器像普通进程一样运行，但在授予适当的用户权限后，可以访问主机网络命名空间、存储和设备。HostProcess 容器可用于在 Windows 节点上部署网络插件、存储配置、设备插件、kube-proxy 和其他组件，而无需专用的代理或直接安装主机服务。

无需集群操作员登录每个 Windows 节点，即可执行安全补丁安装、事件日志收集等管理任务。HostProcess 容器可以以主机上任何可用的用户或主机机器域中的用户身份运行，允许管理员通过用户权限限制资源访问。虽然不支持文件系统或进程隔离，但在启动容器时，会在主机上创建一个新卷，为其提供干净且集中的工作区。HostProcess 容器还可以构建在现有 Windows 基本映像之上，并且不会继承与 Windows 服务器容器相同的兼容性要求，这意味着基本映像的版本不需要与主机匹配。但是，建议您使用与 Windows Server 容器工作负载相同的基本映像版本，以确保节点上没有未使用的映像占用空间。HostProcess 容器还支持容器卷内的卷挂载。

我什么时候应该使用 Windows HostProcess 容器？

• 当您需要执行需要主机网络命名空间的任务时。HostProcess 容器可以访问主机的网络接口和 IP 地址。
• 您需要访问主机上的资源，例如文件系统、事件日志等。
• 安装特定的设备驱动程序或 Windows 服务。
• 整合管理任务和安全策略。这减少了 Windows 节点所需的权限级别。

开始之前

本任务指南专门针对 Kubernetes v1.31。如果您未运行 Kubernetes v1.31，请查看该版本的 Kubernetes 文档。

在 Kubernetes 1.31 中，HostProcess 容器功能默认启用。kubelet 将通过 CRI 将 hostprocess 标志传递给 containerd，直接与 containerd 通信。您可以使用最新版本的 containerd (v1.6+) 运行 HostProcess 容器。如何安装 containerd。

限制

这些限制与 Kubernetes v1.31 相关。

• HostProcess 容器需要 containerd 1.6 或更高版本容器运行时，建议使用 containerd 1.7。
• HostProcess Pod 只能包含 HostProcess 容器。这是 Windows 操作系统的当前限制；非特权 Windows 容器无法与主机 IP 命名空间共享 vNIC。
• HostProcess 容器作为主机上的一个进程运行，除了对 HostProcess 用户帐户施加的资源限制外，没有任何隔离程度。不支持 HostProcess 容器的文件系统或 Hyper-V 隔离。
• 支持卷挂载，并在容器卷下挂载。请参阅卷挂载
• 默认情况下，HostProcess 容器可以使用有限的一组主机用户帐户。请参阅选择用户帐户。
• 资源限制（磁盘、内存、CPU 数量）与主机上的进程相同。
• 命名管道挂载和 Unix 域套接字不支持，应改为通过主机上的路径访问（例如 \\.\pipe\*）

HostProcess Pod 配置要求

启用 Windows HostProcess Pod 需要在 Pod 安全配置中设置正确的配置。在Pod 安全标准中定义的策略中，HostProcess Pod 被基本策略和受限策略禁止。因此，建议 HostProcess Pod 与特权配置文件一致运行。

在特权策略下运行时，以下是启用 HostProcess Pod 创建所需的配置。

示例清单（节选）

spec:
  securityContext:
    windowsOptions:
      hostProcess: true
      runAsUserName: "NT AUTHORITY\\Local service"
  hostNetwork: true
  containers:
  - name: test
    image: image1:latest
    command:
      - ping
      - -t
      - 127.0.0.1
  nodeSelector:
    "kubernetes.io/os": windows

卷挂载

HostProcess 容器支持在容器卷空间内挂载卷。卷挂载行为因节点使用的 containerd 运行时版本而异。

Containerd v1.6

在容器内运行的应用程序可以通过相对路径或绝对路径直接访问卷挂载。在容器创建时会设置一个环境变量 $CONTAINER_SANDBOX_MOUNT_POINT，它提供容器卷的绝对主机路径。相对路径基于 .spec.containers.volumeMounts.mountPath 配置。

要访问服务帐户令牌（例如），容器内支持以下路径结构

• .\var\run\secrets\kubernetes.io\serviceaccount\
• $CONTAINER_SANDBOX_MOUNT_POINT\var\run\secrets\kubernetes.io\serviceaccount\

Containerd v1.7（及更高版本）

在容器内运行的应用程序可以通过卷挂载指定的 mountPath 直接访问卷挂载（就像 Linux 和非 HostProcess Windows 容器一样）。

为了向后兼容，还可以通过使用 containerd v1.6 配置的相同相对路径访问卷。

例如，要访问容器内的服务帐户令牌，可以使用以下路径之一

• c:\var\run\secrets\kubernetes.io\serviceaccount
• /var/run/secrets/kubernetes.io/serviceaccount/
• $CONTAINER_SANDBOX_MOUNT_POINT\var\run\secrets\kubernetes.io\serviceaccount\

资源限制

资源限制（磁盘、内存、CPU 数量）应用于作业，并且是作业范围的。例如，如果设置了 10MB 的限制，则分配给任何 HostProcess 作业对象的内存将限制为 10MB。这与其他 Windows 容器类型相同。这些限制将以与当前使用的任何编排器或运行时相同的方式指定。唯一的区别是由于 HostProcess 容器的引导方式不同，因此用于资源跟踪的磁盘资源使用计算方式不同。

选择用户帐户

系统帐户

默认情况下，HostProcess 容器支持以三个受支持的 Windows 服务帐户之一的身份运行

• LocalSystem
• LocalService
• NetworkService

您应该为每个 HostProcess 容器选择一个合适的 Windows 服务帐户，旨在限制权限级别，以避免意外（甚至恶意）损坏主机。LocalSystem 服务帐户拥有三个帐户中最高级别的权限，只有在绝对必要时才应使用它。在可能的情况下，请使用 LocalService 服务帐户，因为它是在三个选项中权限最低的帐户。

本地帐户

如果配置了，HostProcess 容器还可以以本地用户帐户身份运行，这使节点操作员可以对工作负载进行细粒度访问。

要以本地用户身份运行 HostProcess 容器；首先必须在节点上创建一个本地用户组，并且必须在部署中的 runAsUserName 字段中指定该本地用户组的名称。在初始化 HostProcess 容器之前，将创建一个新的短暂的本地用户帐户并将其加入指定的用户组，然后从该用户组运行容器。这提供了许多好处，包括消除管理本地用户帐户密码的需要。运行为服务帐户的初始 HostProcess 容器可用于为以后的 HostProcess 容器准备用户组。

示例

1. 在节点上创建一个本地用户组（这可以在另一个 HostProcess 容器中完成）。

   net localgroup hpc-localgroup /add
   

2. 授予节点上所需资源对本地用户组的访问权限。这可以使用 icacls 等工具完成。

3. 将 runAsUserName 设置为 Pod 或各个容器的本地用户组的名称。

   securityContext:
     windowsOptions:
       hostProcess: true
       runAsUserName: hpc-localgroup
   

4. 调度 Pod！

HostProcess 容器的基本映像

HostProcess 容器可以从任何现有的Windows 容器基本映像构建。

此外，还为 HostProcess 容器创建了一个新的基本映像！有关更多信息，请查看windows-host-process-containers-base-image github 项目。

排查 HostProcess 容器问题

• HostProcess 容器无法启动，并显示 failed to create user process token: failed to logon user: Access is denied.: unknown

  确保 containerd 作为 LocalSystem 或 LocalService 服务帐户运行。用户帐户（即使是管理员帐户）也没有权限为任何受支持的用户帐户创建登录令牌。