# Встановлення параметрів bind mount для монтування томів
LLMS index: [llms.txt](/llms.txt)
---
Стан функціоналу:
Alpha починаючи з Kubernetes v1.37; стандартно вимкнено
Ця сторінка показує, як застосувати повʼязані з безпекою параметри bind mount (`noexec`, `nodev`, `nosuid`) до монтування томів у Podʼі.
## Перш ніж ви розпочнете
Вам треба мати кластер Kubernetes, а також інструмент командного рядка kubectl має бути налаштований для роботи з вашим кластером. Рекомендується виконувати ці настанови у кластері, що має щонайменше два вузли, які не виконують роль вузлів управління. Якщо у вас немає кластера, ви можете створити його, за допомогою minikube або використовувати одну з цих пісочниць:
Версія вашого Kubernetes сервера має бути v1.37.
Для перевірки версії введіть kubectl version.
Вам потрібно, щоб функціональна можливість [`VolumeBindMountOptions`](/docs/reference/command-line-tools-reference/feature-gates/#VolumeBindMountOptions) була увімкнена на API-сервері **та** на kubelet. Середовище виконання контейнерів також повинно підтримувати поле `mount_options` у повідомленні CRI `Mount`.
## Створення Podʼа з параметрами bind mount {#create-pod}
Поле `.spec.containers[*].volumeMounts[*].bindMountOptions` приймає список прапорців bind mount. Допустимі значення: `noexec`, `nodev` та `nosuid`.
Наприклад, щоб змонтувати том emptyDir у `/tmp` з `noexec` та `nosuid` так, щоб двійкові файли не можна було виконувати, а біти set-user-ID ігнорувалися:
apiVersion: v1
kind: Pod
metadata:
name: bind-mount-options-demo
spec:
containers:
- image: registry.k8s.io/busybox
name: test-container
command: ["sleep", "3600"]
volumeMounts:
- mountPath: /tmp
name: tmp-volume
bindMountOptions:
- noexec
- nosuid
volumes:
- name: tmp-volume
emptyDir: {}
1. Створіть Pod у вашому кластері:
```shell
kubectl apply -f https://k8s.io/examples/pods/bind-mount-options.yaml
```
1. Перевірте, що Pod працює:
```shell
kubectl get pod bind-mount-options-demo
```
1. Перевірте параметри монтування тому:
```shell
kubectl exec bind-mount-options-demo -- mount | grep /tmp
```
Вивід повинен містити `noexec` та `nosuid` у параметрах монтування.
1. Перевірте, що виконання двійкового файлу на цьому монтуванні зазнає невдачі:
```shell
kubectl exec bind-mount-options-demo -- sh -c 'cp /bin/ls /tmp/ls && /tmp/ls'
```
Вивід подібний до:
```none
sh: /tmp/ls: Permission denied
```
1. Видаліть Pod, який ви створили для цієї вправи:
```shell
kubectl delete pod bind-mount-options-demo
```
## Що далі
- Дізнайтеся більше про [параметри bind mount](/docs/concepts/storage/volumes/#bind-mount-options) для томів
