完全な解決策については、以下の説明をご覧ください。
Explanation:
1) 正しいホストに接続します
ssh cks000028
sudo -i
2) 正しいkubeconfigを使用する（試験では安全）
export KUBECONFIG=/etc/kubernetes/admin.conf
3) 提供されたデプロイメントマニフェストを開きます
/home/candidate/finer-sunbeam/lamp-deployment.yaml
4) Podテンプレートのセキュリティ設定のみを編集します（これらのフィールドを追加/変更します）。内部：
仕様: -> テンプレート: -> 仕様:
4.1 コンテナをユーザー20000として実行するように設定する
コンテナ securityContext: の下に追加（または変更）します。
セキュリティコンテキスト:
runAsUser: 20000
4.2 ルートファイルシステムを読み取り専用にする
同じコンテナのsecurityContext内で、以下を保証します。
readOnlyRootFilesystem: true
4.3 権限昇格の禁止
同じコンテナのsecurityContext内で、以下を保証します。
allowPrivilegeEscalation: false
✅ コンテナセクションは次のようになります（例 - 既存のイメージ/ポートなどを維持してください）。
仕様:
テンプレート：
仕様:
コンテナ:
- 名前: <コンテナ名>
画像：＜変更なし＞
セキュリティコンテキスト:
runAsUser: 20000
readOnlyRootFilesystem: true
allowPrivilegeEscalation: false
コンテナが複数ある場合は、各コンテナに同じsecurityContextを適用してください。
保存して終了：
:wq
5) マニフェストを適用する（デプロイメントを更新し、Podを再作成する）
kubectl -n lamp apply -f /home/candidate/finer-sunbeam/lamp-deployment.yaml
6) 展開を待つ
kubectl -n lamp rollout status deployment/lamp-deployment
7) セキュリティ設定が有効になっていることを確認する
7.1 Podが実行されていることを確認する
kubectl -n lamp get pods -l app=lamp -o wide
（ラベルが異なる場合は、kubectl -n lamp get pods を実行してください）
7.2 実行中のPodで3つのフィールドを確認する
Pod名を選択して、以下を実行します。
POD=$(kubectl -n lamp get pods -o jsonpath='{.items[0].metadata.name}') kubectl -n lamp get pod $POD -o jsonpath='{.spec.containers[0].securityContext.runAsUser}{"\n"}{.spec.containers[0].securityContext.readOnlyRootFilesystem}{"\n"}{.spec.containers[0].securityContext.allowPrivilegeEscalation}{"\n"}' 期待される出力:
20000
真実
間違い
readOnlyRootFilesystem=true の後にポッドが失敗した場合
要件を変更しないでください（タスクで要求されています）。通常、アプリはボリューム経由で書き込み可能なディレクトリを必要としますが、タスクではそれを要求していません。したがって、マニフェストに既にボリュームがあり、これらのsecurityContextフィールドのみが必要な場合のみ調整してください。