16.3. Pod セキュリティーアドミッションの同期制御
ほとんどの namespace で自動 Pod セキュリティーアドミッションの同期を有効または無効にできます。
クラスターペイロードの一部として定義されている namespace では、Pod セキュリティーアドミッションの同期が完全に無効になっています。これらの namespace には以下が含まれます。
-
default -
kube-node-lease -
kube-system -
kube-public -
openshift -
openshift-operatorsを除く、openshift-で始まるすべてのシステム作成 namespace
デフォルトでは、openshift- 接頭辞を持つすべての namespace は同期されません。ユーザーが作成した任意の openshift-* namespace の同期を有効にすることができます。openshift-operators を除き、システムで作成された openshift-* namespace の同期を有効にすることはできません。
Operator がユーザー作成の openshift-* namespace にインストールされている場合、namespace でクラスターサービスバージョン (CSV) が作成された後、デフォルトで同期がオンになります。同期されたラベルは、namespace のサービスアカウントの権限を継承します。
手順
設定する namespace ごとに、
security.openshift.io/scc.podSecurityLabelSyncラベルの値を設定します。namespace で Pod セキュリティーアドミッションラベルの同期を無効にするには、
security.openshift.io/scc.podSecurityLabelSyncラベルの値をfalseに設定します。以下のコマンドを実行します。
$ oc label namespace <namespace> security.openshift.io/scc.podSecurityLabelSync=false
namespace で Pod セキュリティーアドミッションラベルの同期を有効にするには、
security.openshift.io/scc.podSecurityLabelSyncラベルの値をtrueに設定します。以下のコマンドを実行します。
$ oc label namespace <namespace> security.openshift.io/scc.podSecurityLabelSync=true
注記このラベルが namespace にすでに設定されている場合は、
--overwriteフラグを使用して値を上書きします。
