nodeSelectorは、ノード選択制約の最もシンプルな推奨形式です。Pod仕様にnodeSelectorフィールドを追加し、対象ノードに付与するノードラベルを指定できます。Kubernetesは、指定されたラベルを持つノードにのみPodをスケジュールします。=> https://kubernetes.io/docs/concepts
/scheduling-eviction/assign-pod-node/#nodeselector ポッドにはTolerationが適用されます。Tolerationにより、スケジューラは一致するtaintを持つポッドをスケジュールできます。Tolerationはスケジュールを可能にしますが、スケジュールを保証するものではありません。
スケジューラは、その機能の一部として他のパラメータも評価します。 => https://kubernetes.io/docs/concepts
/scheduling-eviction/taint-and-toleration/

安全なコンテナイメージを作成する際には、脆弱性を最小限に抑え、コンテナが意図したとおりに動作することを保証するためのベストプラクティスに従うことが不可欠です。ここでは、2つの重要なプラクティスをご紹介します。
単一のアプリをコンテナとしてパッケージ化：コンテナ内に単一のアプリケーションのみをパッケージ化することで、複雑さと潜在的な攻撃対象領域を削減できます。この方法は単一責任の原則に合致しており、各コンテナに明確で明確な目的を持たせることができます。
不要なツールの削除：アプリケーションに不要なツールやソフトウェアは、コンテナイメージから削除する必要があります。これにより、潜在的な脆弱性の数を最小限に抑え、攻撃対象領域を縮小できます。また、コンテナイメージを最小限にすることで、イメージサイズが小さくなり、デプロイ時間が短縮されます。
これらのプラクティスは、より安全で効率的なコンテナ イメージの作成に貢献します。
参照：
コンテナセキュリティのベストプラクティス
コンテナイメージのセキュリティ保護