Controle do Plano K8s da Competição

Use esta habilidade apenas como uma especialização downstream depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o caminho decisivo passar pelo estado do plano de controle Kubernetes, permissões de API ou comportamento do controlador, em vez de apenas o tempo de execução de um único contêiner.

Responda em chinês simplificado, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Separe a intenção do manifesto do estado do cluster ativo: objetos de API, mutações, controladores, segredos e cargas de trabalho resultantes.
2. Identifique primeiro o principal ativo: conta de serviço, identidade kubeconfig, credencial de nó, webhook ou controlador.
3. Mapeie a menor borda do plano de controle para seu efeito de carga de trabalho.
4. Mantenha RBAC, contas de serviço, referências de proprietário, limites de namespace e consumidores de segredos em blocos de evidências compactos.
5. Reproduza a menor ação de cluster que produz o efeito decisivo de carga de trabalho ou segredo.

Fluxo de Trabalho

1. Mapeie o Caminho de Confiança da API

• Registre namespaces, contas de serviço, Roles, ClusterRoles, bindings, admission hooks, controladores e os recursos que eles podem mutar.
• Distinga acesso de leitura, acesso de criação, acesso de patch, acesso de execução e acesso a segredos.
• Mantenha o principal, verbo, recurso, namespace e objeto resultante em uma única cadeia.

2. Rastreie a Mutação para o Estado da Carga de Trabalho

• Mostre como uma ação de API se torna um pod, montagem de volume, exposição de segredo, injeção de env, execução de job ou artefato criado pelo controlador.
• Compare o YAML enviado com os objetos ativos após a padronização, mutação de admissão ou reconciliação do controlador.
• Distinga o comportamento do tempo de execução do pod da lógica de mutação em nível de cluster.

3. Reduza ao Caminho Decisivo do Cluster

• Comprima o resultado na menor cadeia: principal -> permissão de API -> objeto mutado -> carga de trabalho resultante, segredo ou efeito de rota.
• Mantenha objetos kube, descrições ativas e caminhos de segredo ou configuração consumidos vinculados ao mesmo namespace e controlador.
• Se o problema se resumir à montagem ou desvio de tempo de execução de um contêiner, volte para a habilidade mais específica de tempo de execução de contêiner.

Leia esta Referência

• Carregue references/k8s-control-plane.md para a lista de verificação de RBAC, lista de verificação de controlador e empacotamento de evidências.
• Se a parte difícil for a alcançabilidade do serviço de metadados, identidade da carga de trabalho, credenciais de instância ou privilégio derivado de metadados, prefira $competition-cloud-metadata-path.

O Que Preservar

• Cadeias de namespace, conta de serviço, verbo, tipo de recurso, RoleBinding ou ClusterRoleBinding e referência de proprietário
• Mutações de admissão, cargas de trabalho geradas, segredos montados e desvios produzidos pelo controlador
• A ação exata da API ou a diferença de objeto que cria o efeito decisivo