7.6. Gestion des profils SELinux

Procédure

1. Créez une politique qui peut être utilisée avec une charge de travail non privilégiée en créant l'objet SelinuxProfile suivant :

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha2
   kind: SelinuxProfile
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     allow:
       '@self':
         tcp_socket:
         - listen
       http_cache_port_t:
         tcp_socket:
         - name_bind
       node_t:
         tcp_socket:
         - node_bind
     inherit:
     - kind: System
       name: container

2. Attendez que selinuxd installe la politique en exécutant la commande suivante :

   $ oc wait --for=condition=ready -n nginx-deploy selinuxprofile nginx-secure

   Exemple de sortie

   selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure condition met

   Les politiques sont placées sur un site emptyDir dans le conteneur appartenant à l'opérateur de profils de sécurité. Les politiques sont sauvegardées au format Common Intermediate Language (CIL) dans /etc/selinux.d/<name>_<namespace>.cil.

3. Accédez au pod en exécutant la commande suivante :

   $ oc -n openshift-security-profiles rsh -c selinuxd ds/spod

Vérification

1. Affichez le contenu du fichier à l'aide de cat en exécutant la commande suivante :

   $ cat /etc/selinux.d/nginx-secure_nginx-deploy.cil

   Exemple de sortie

   (block nginx-secure_nginx-deploy
   (blockinherit container)
   (allow process nginx-secure_nginx-deploy.process ( tcp_socket ( listen )))
   (allow process http_cache_port_t ( tcp_socket ( name_bind )))
   (allow process node_t ( tcp_socket ( node_bind )))
   )

2. Vérifiez qu'une politique a été installée en exécutant la commande suivante :

   $ semodule -l | grep nginx-secure

   Exemple de sortie

   nginx-secure_nginx-deploy

Procédure

1. Appliquez l'étiquette scc.podSecurityLabelSync=false à l'espace de noms nginx-deploy en exécutant la commande suivante :

   $ oc label ns nginx-deploy security.openshift.io/scc.podSecurityLabelSync=false

2. Appliquez l'étiquette privileged à l'espace de noms nginx-deploy en exécutant la commande suivante :

   $ oc label ns nginx-deploy --overwrite=true pod-security.kubernetes.io/enforce=privileged

3. Obtenez la chaîne d'utilisation du profil SELinux en exécutant la commande suivante :

   $ oc get selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure -n nginx-deploy -ojsonpath='{.status.usage}'

   Exemple de sortie

   nginx-secure_nginx-deploy.process%

4. Appliquer la chaîne de sortie dans le manifeste de charge de travail dans l'attribut .spec.containers[].securityContext.seLinuxOptions:

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     containers:
       - image: nginxinc/nginx-unprivileged:1.21
         name: nginx
         securityContext:
           seLinuxOptions:
             # NOTE: This uses an appropriate SELinux type
             type: nginx-secure_nginx-deploy.process

   Important

   Le site SELinux type doit exister avant la création de la charge de travail.

Procédure

1. Etiqueter l'espace de noms avec enable-recording=true en exécutant la commande suivante :

   $ oc label ns my-namespace spo.x-k8s.io/enable-recording=true

2. Créer un objet ProfileRecording contenant une variable recorder: logs:

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     name: test-recording
   spec:
     kind: SelinuxProfile
     recorder: logs
     podSelector:
       matchLabels:
         app: my-app

3. Créer une charge de travail à enregistrer :

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-pod
     labels:
       app: my-app
   spec:
     containers:
       - name: nginx
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
         ports:
           - containerPort: 8080
       - name: redis
         image: quay.io/security-profiles-operator/redis:6.2.1

4. Confirmez que le pod est dans un état Running en entrant la commande suivante :

   $ oc -n openshift-security-profiles get pods

   Exemple de sortie

   NAME     READY   STATUS    RESTARTS   AGE
   my-pod   2/2     Running   0          18s

5. Confirmez que l'enrichisseur indique qu'il reçoit les journaux d'audit pour ces conteneurs :

   $ oc -n openshift-security-profiles logs --since=1m --selector name=spod -c log-enricher

   Exemple de sortie

   …
   I0705 12:08:18.729660 1843190 enricher.go:136] log-enricher "msg"="audit"  "container"="redis" "executable"="/usr/local/bin/redis-server" "namespace"="default" "node"="127.0.0.1" "pid"=1847839 "pod"="my-pod" "syscallID"=232 "syscallName"="epoll_wait" "timestamp"="1625486870.273:187492" "type"="{type}"

Vérification

1. Retirer la gousse :

   $ oc -n openshift-security-profiles delete pod my-pod

2. Confirmez que l'opérateur de profils de sécurité réconcilie les deux profils SELinux :

   $ oc -n openshift-security-profiles get sp

   Exemple de sortie

   NAME                   STATUS      AGE
   test-recording-nginx   Installed   15s
   test-recording-redis   Installed   15s