15.4. Création de contraintes de contexte de sécurité

Procédure

1. Définir le SCC dans un fichier YAML nommé scc-admin.yaml:

   kind: SecurityContextConstraints
   apiVersion: security.openshift.io/v1
   metadata:
     name: scc-admin
   allowPrivilegedContainer: true
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: RunAsAny
   fsGroup:
     type: RunAsAny
   supplementalGroups:
     type: RunAsAny
   users:
   - my-admin-user
   groups:
   - my-admin-group

   En option, vous pouvez supprimer des capacités spécifiques pour un SCC en définissant le champ requiredDropCapabilities avec les valeurs souhaitées. Toutes les capacités spécifiées sont supprimées du conteneur. Pour supprimer toutes les capacités, indiquez ALL. Par exemple, pour créer un SCC qui supprime les capacités KILL, MKNOD, et SYS_CHROOT, ajoutez ce qui suit à l'objet SCC :

   requiredDropCapabilities:
   - KILL
   - MKNOD
   - SYS_CHROOT

   Note

   Vous ne pouvez pas répertorier une capacité à la fois sur allowedCapabilities et sur requiredDropCapabilities.

   CRI-O prend en charge la même liste de valeurs de capacités que celle figurant dans la documentation de Docker.

2. Créez le CCN en lui transmettant le fichier :

   $ oc create -f scc-admin.yaml

   Exemple de sortie

   securitycontextconstraints "scc-admin" created