13.4. Créer des contraintes de contexte de sécurité pour les clusters CCS

Procédure

1. Définissez le SCC dans un fichier YAML nommé scc-admin.yaml:

   kind: SecurityContextConstraints
   apiVersion: security.openshift.io/v1
   metadata:
     name: scc-admin
   allowPrivilegedContainer: true
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: RunAsAny
   fsGroup:
     type: RunAsAny
   supplementalGroups:
     type: RunAsAny
   users:
   - my-admin-user
   groups:
   - my-admin-group

   Copy to Clipboard Toggle word wrap

   En option, vous pouvez supprimer des capacités spécifiques pour un SCC en définissant le champ Capacités de dépôt requise avec les valeurs souhaitées. Les capacités spécifiées sont supprimées du conteneur. Afin de supprimer toutes les capacités, spécifiez TOUT. À titre d’exemple, pour créer un SCC qui laisse tomber les capacités KILL, MKNOD et SYS_CHROOT, ajoutez ce qui suit à l’objet SCC:

   requiredDropCapabilities:
   - KILL
   - MKNOD
   - SYS_CHROOT

   Copy to Clipboard Toggle word wrap
   Note

   Il n’est pas possible de répertorier une capacité dans les capacités autorisées et les capacités de dépôt requises.

   CRI-O prend en charge la même liste de valeurs de capacités que celles que l’on trouve dans la documentation Docker.

2. Créer le SCC en passant dans le fichier:

   $ oc create -f scc-admin.yaml

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   securitycontextconstraints "scc-admin" created

   Copy to Clipboard Toggle word wrap