В Kubernetes существует неожиданное поведение imagePullPolicy, которое уже более 10 лет является предостережением, позволяя подам получать доступ к аутентифицированным образам без учетных данных. Политика IfNotPresent позволяла поду использовать образ, уже присутствующий на узле, даже если она не предоставляла учетные данные для его загрузки. Это проблема безопасности, поскольку поды без учетных данных могут получать доступ к частным образам. В Kubernetes v1.33 политика IfNotPresent была обновлена, чтобы гарантировать, что поды должны предоставлять учетные данные для использования ранее загруженного частного образа. Kubelet будет проверять учетные данные пода перед тем, как разрешить ему использовать образ. Опция imagePullPolicy: Never не загружает образы, но требует учетных данных для использования уже имеющегося образа. Опция imagePullPolicy: Always всегда работала по назначению, требуя аутентификацию для каждого запроса образа. Новая функция использует постоянные файловые кэши на каждом узле для проверки учетных данных пода. Функция основана на записи намерения загрузить образ, извлечении учетных данных и создании записи об успешных загрузках. Функция доступна в Kubernetes v1.33 и может быть включена путем активации feature gate KubeletEnsureSecretPulledImages.