小编Ada*_*son的帖子

我最近在这里问了很多问题，因为我不断地被节点和数据库的不同部分所困扰。

无论如何，有点背景：

我有一个带有 AngularJS 前端的 Electron 应用程序。所以在电子方面，我实际上启动了一个快速服务器，它为我的 angular 应用程序提供服务，然后它当然可以通过 ipc 与电子通信。我还使用快速的一面来做数据库的事情（sqlite3），为一个 api 定义路由，Angular 可以使用 $http 命中该路由，并以这种方式返回 db 结果。当我使用“npm start”运行应用程序时，一切正常。db/server 端的代码如下：

var path = require('path');
var express = require('express');
var app = express();
var fs = require('fs');
var bodyParser = require('body-parser');
var path = require('path');
var sqlite3 = require('sqlite3').verbose();

// Load the db
function createDbFile() {
    // Try to open the db file - if it doesn't exist, create it.
    try {
        var filebuffer = fs.readFileSync(path.join(__dirname, 'app.db'));
    }
    catch (err) { …

目前陷入困境，试图通过 Terraform 为 AWS Cognito 用户池设置“应用程序客户端”。这是我的资源：

resource "aws_cognito_user_pool" "notes-pool" {
  name = "notes-pool"
  username_attributes = ["email"]

  verification_message_template {
    default_email_option = "CONFIRM_WITH_CODE"
  }

  password_policy {
    minimum_length    = 10
    require_lowercase = false
    require_numbers   = true
    require_symbols   = false
    require_uppercase = true
  }

  tags {
    "Name"    = "notes-pool"
    "Environment" = "production"
  }
}

以上工作正常，我的用户池已创建。如果有人对如何在同一资源中创建应用程序客户端有任何想法，我会全力以赴。我开始怀疑这个功能不存在！

我目前正在尝试研究是否可以阻止 Kubernetes 用户通过 RBAC 创建特权容器。我知道从 Kubernetes 1.1 开始，特权容器默认启用以支持底层 Docker 要求。这很好，我不想阻止每个人都能够运行特权容器。

但是，我想按照最小特权原则进行工作。例如，我想防止用户能够使用诸如kubectl node-shell 之类的东西获得对工作节点的 root 访问权限，最好是通过 RBAC。

这可能吗？