Использование двунаправленного распространения монтирования без контекста привилегированной безопасности в kubernetes

Question

Я реализую поддержку CSIDriver, который использует двунаправленное распространение монтирования. Для этого требуется, чтобы контейнер был Privileged, но в этом проекте нам не разрешено использовать привилегированные контейнеры.

Есть ли другой способ сделать это? Я пытался использовать возможности SYS_ADMIN, но это не сработало.

          - name: spiffe-csi-driver
        image: ghcr.io/spiffe/spiffe-csi-driver:0.1.0
        imagePullPolicy: IfNotPresent
        args: [
          "-workload-api-socket-dir", "/spire-agent-socket",
          "-csi-socket-path", "/spiffe-csi/csi.sock",
        ]
        env:
          - name: MY_NODE_NAME
            valueFrom:
              fieldRef:
                fieldPath: spec.nodeName
        volumeMounts:
          - mountPath: /spire-agent-socket
            name: spire-agent-socket
            readOnly: true
          - mountPath: /spiffe-csi
            name: spiffe-csi-socket-dir
          # The volume containing mount points for containers.
          - mountPath: /var/lib/kubelet/pods
            mountPropagation: Bidirectional
            name: mountpoint-dir
        securityContext:
          privileged: true # need to remove
          # capabilities: # this didn't work 
          #   add:
          #   - SYS_ADMIN

Answer 1

Согласно официальной документации K8s :

это разрешено только в привилегированных контейнерах.