de></pre><p>如您所见，configmap 包含了 <code>istio-init</code> 初始化容器和 <code>istio-proxy</code> 代理容器的配置。该配置包括容器镜像的名称以及拦截模式，权限要求等参数。</p><p>从安全的角度来看，重要的是要注意 <code>istio-init</code> 需要 <code>NET_ADMIN</code> 权限来修改 pod 命名空间中的 <code>iptables</code>，如果 <code>istio-proxy</code> 是 <code>TPROXY</code> 模式，也需要这一权限。由于该仅限于 pod 的命�