链滴 consul 命令行 作者：boolean-dev 原文链接：https://ld246.com/article/1545917811707 来源网站：链滴 许可协议：署名-相同方式共享 4.0 国际 (CC BY-SA 4.0) consul命令行 ● advertise：广告地址用于将我们通告的地址更改为群集中的其他节点。默认情况下，-bind通告地 。但是，在某些情况 WAN八卦通信的地址。默认情况下，该值遵循与-bind命令行 志相同的规则，如果未指定，-bind则使用该选项。这可以在Consul 0.7.1及更高版本中找到。在Con ul 1.0及更高版本中，可以将其设置为 go-sockaddr 模板 ● -serf-lan-bind：应该绑定到Serf LAN八卦通信的地址。这是群集中所有其他LAN节点都应该可以 问的IP地址。默认情况下，该值遵循与-bind命令行标志相同的规则，如果未指定，-bind则使用该选 “.json”或“.hcl”扩展名中检测 置文件的格式。将此选项设置为“json”或“hcl”会强制Consul解释具有或不具有扩展名的任何文 ，以便以该格式进行解释。 原文链接：consul 命令行 ● data-dir：此标志为代理程序存储状态提供数据目录。这是所有代理商都需要的。该目录在重新启 后应该是持久的。这对于在服务器模式下运行的代理尤其重要，因为它们必须能够持久化群集状态。 外，

云原生安全威胁分析与能力建设白皮书 39 字（Unix Socket），它是用于与 Docker 守护进程通信的一种机制。通过这个套 接字，可以通过发送命令和接收结果来与 Docker 守护进程交互。在使用 Docker 命令行工具或者 Docker API 时，都会通过这个套接字与 Docker 守护进程进行 通信。将宿主机上的 docker.sock 文件挂载到容器内部，将会导致容器逃逸风 险。 3.2.2 攻击过程复现 -itd --name with_Docker_sock -v /var/run/Docker.sock: /var/run/Docker.sock ubuntu 步骤 2：在容器安装 Docker 命令行客户端，内执行以下命令： apt-get update apt-get install curl curl -fsSL https://get.Docker.com/ | sh 步骤 3：在 为上一步中获得的 Pod 名称，携带“利用 cat 命令读取 ‘apiserver-kubelet-client.key’”作为参数，从返回结果中保存窃取到 的文件。 7. 使用 kubectl 命令行工具指定凭证为 4、5、6 步中窃取到的文件创建挂 载了宿主机根目录的 Pod，实现容器逃逸。 攻击结果如图 15 所示，漏洞利用程序成功利用漏洞从 k8s API Server Pod 中窃取了高权限凭证。

署环境（环境无关） 查看“能力模板”的用法 1. 能力模板注册时，KubeVela 控制器会 自动生成 OpenAPI v3 的 json schema 文件和文档。 2. 通过 vela 的命令行工具可以查看。 3. 用户也可以自己基于 json schema 去 渲染集成进自己的前端。 KubeVela 的能力模板 – 组件类型 抽象封装方式 K8s 对象模板 CUE 模板 工作负载类型