7.5. seccomp プロファイルの管理

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project my-namespace

2. SeccompProfile オブジェクトを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1beta1
   kind: SeccompProfile
   metadata:
     namespace: my-namespace
     name: profile1
   spec:
     defaultAction: SCMP_ACT_LOG

手順

1. securityContext を定義する Pod オブジェクトを作成します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     securityContext:
       seccompProfile:
         type: Localhost
         localhostProfile: operator/my-namespace/profile1.json
     containers:
       - name: test-container
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21

2. 次のコマンドを実行して、seccompProfile.localhostProfile 属性のプロファイルパスを表示します。

   $ oc -n my-namespace get seccompprofile profile1 --output wide

   出力例

   NAME       STATUS     AGE   SECCOMPPROFILE.LOCALHOSTPROFILE
   profile1   Installed  14s   operator/my-namespace/profile1.json

3. 次のコマンドを実行して、localhost プロファイルへのパスを表示します。

   $ oc get sp profile1 --output=jsonpath='{.status.localhostProfile}'

   出力例

   operator/my-namespace/profile1.json

4. localhostProfile の出力をパッチファイルに適用します。

   spec:
     template:
       spec:
         securityContext:
           seccompProfile:
             type: Localhost
             localhostProfile: operator/my-namespace/profile1.json

5. 次のコマンドを実行して、プロファイルを他のワークロード (Deployment オブジェクトなど) に適用します。

   $ oc -n my-namespace patch deployment myapp --patch-file patch.yaml --type=merge

   出力例

   deployment.apps/myapp patched

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project my-namespace

2. 次のコマンドを実行して、namespace に enable-recording=true のラベルを付けます。

   $ oc label ns my-namespace spo.x-k8s.io/enable-recording=true

3. recorder: logs 変数を含む ProfileRecording オブジェクトを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     namespace: my-namespace
     name: test-recording
   spec:
     kind: SeccompProfile
     recorder: logs
     podSelector:
       matchLabels:
         app: my-app

4. 記録するワークロードを作成します。

   apiVersion: v1
   kind: Pod
   metadata:
     namespace: my-namespace
     name: my-pod
     labels:
       app: my-app
   spec:
     containers:
       - name: nginx
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
         ports:
           - containerPort: 8080
       - name: redis
         image: quay.io/security-profiles-operator/redis:6.2.1

5. 次のコマンドを入力して、Pod が Running 状態であることを確認します。

   $ oc -n my-namespace get pods

   出力例

   NAME     READY   STATUS    RESTARTS   AGE
   my-pod   2/2     Running   0          18s

6. エンリッチャーがそれらのコンテナーの監査ログを受信することを示していることを確認します。

   $ oc -n openshift-security-profiles logs --since=1m --selector name=spod -c log-enricher

   出力例

   I0523 14:19:08.747313  430694 enricher.go:445] log-enricher "msg"="audit" "container"="redis" "executable"="/usr/local/bin/redis-server" "namespace"="my-namespace" "node"="xiyuan-23-5g2q9-worker-eastus2-6rpgf" "pid"=656802 "pod"="my-pod" "syscallID"=0 "syscallName"="read" "timestamp"="1684851548.745:207179" "type"="seccomp"

検証

1. Pod を削除します。

   $ oc -n my-namepace delete pod my-pod

2. Security Profiles Operator が 2 つの seccomp プロファイルを調整することを確認します。

   $ oc get seccompprofiles -lspo.x-k8s.io/recording-id=test-recording -n my-namespace

   seccompprofile の出力例

   NAME                   STATUS      AGE
   test-recording-nginx   Installed   2m48s
   test-recording-redis   Installed   2m48s