port-forward, exec, proxy, cp
port-forward tunnelt über den API-Server,
kein Ingress, kein NodePort nötig; svc/x pinnt
beim Start einen Pod dahinter, kein Load-Balancing, der
Tunnel endet mit diesem Pod. --address ist per
Default localhost; 0.0.0.0 öffnet
den Tunnel fürs Netz.
proxy legt die REST-API authentifiziert auf
127.0.0.1:8001, zum Explorieren und für
curl-Debugging. cp braucht ein
tar-Binary im Container, bei distroless nicht
vorhanden. Unter Windows schreibt cp aus einem
manipulierten Container beliebige lokale Pfade
(CVE-2026-19444), behoben ab v1.34.12, v1.35.9 und v1.36.5,
v1.37 ist nicht betroffen.
exec verlangt seit v1.35 -- vor dem
Kommando, die alte Form bricht mit Fehler ab.
kubectl port-forward svc/web 8080:80 kubectl port-forward pod/db 15432:5432 # lokal:remote kubectl proxy --port=8001 & curl localhost:8001/api/v1/namespaces/prod/pods kubectl cp prod/api-6d5f7:/var/log/app.log ./app.log kubectl exec -it deploy/web -c app -- sh