7.7. SELinux プロファイルの管理

手順

1. quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 イメージを使用する Pod をサンプルの SelinuxProfile プロファイルにバインドするには、Pod と SelinuxProfile オブジェクトと同じ namespace に ProfileBinding オブジェクトを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileBinding
   metadata:
     namespace: my-namespace
     name: nginx-binding
   spec:
     profileRef:
       kind: SelinuxProfile 1
       name: profile 2
     image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 3

   1

   kind: 変数はプロファイルの種類を参照します。

   2

   name: 変数は、プロファイルの名前を参照します。

   3

   イメージ属性にワイルドカードを使用する (image: "*") と、デフォルトのセキュリティープロファイルを有効にすることができます。

   重要

   image: "*" ワイルドカード属性を使用すると、すべての新しい Pod が、指定された namespace 内のデフォルトのセキュリティープロファイルにバインドされます。

2. 次のコマンドを実行して、namespace に enable-binding=true のラベルを付けます。

   $ oc label ns my-namespace spo.x-k8s.io/enable-binding=true

3. test-pod.yaml という名前の Pod を定義します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21

4. Pod を作成します。

   $ oc create -f test-pod.yaml

   注記

   Pod がすでに存在する場合、Pod を再作成しなければバインディングは適切に機能しません。

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project nginx-secure

2. 次の RoleBinding オブジェクトを作成して、SELinux ポリシーを nginx-secure namespace で使用できるようにします。

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: spo-nginx
     namespace: nginx-secure
   subjects:
   - kind: ServiceAccount
     name: spo-deploy-test
   roleRef:
     kind: Role
     name: spo-nginx
     apiGroup: rbac.authorization.k8s.io

3. Role オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     creationTimestamp: null
     name: spo-nginx
     namespace: nginx-secure
   rules:
   - apiGroups:
     - security.openshift.io
     resources:
     - securitycontextconstraints
     resourceNames:
     - privileged
     verbs:
     - use

4. ServiceAccount オブジェクトを作成します。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     creationTimestamp: null
     name: spo-deploy-test
     namespace: nginx-secure

5. Deployment オブジェクトを作成します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: selinux-test
     namespace: nginx-secure
     metadata:
       labels:
         app: selinux-test
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: selinux-test
     template:
       metadata:
         labels:
           app: selinux-test
       spec:
         serviceAccountName: spo-deploy-test
         securityContext:
           seLinuxOptions:
             type: nginx-secure_nginx-secure.process 1
         containers:
         - name: nginx-unpriv
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

   1

   デプロイメントが作成される前に、.seLinuxOptions.type が存在している必要があります。

   注記

   SELinux タイプはワークロードで指定されておらず、SCC によって処理されます。デプロイと ReplicaSet によって Pod が作成されると、Pod は適切なプロファイルで実行されます。

手順

1. ProfileRecording オブジェクトを編集して、mergeStrategy: containers 変数を含めます。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     # The name of the Recording is the same as the resulting SelinuxProfile CRD
     # after reconciliation.
     name: test-recording
     namespace: my-namespace
   spec:
     kind: SelinuxProfile
     recorder: logs
     mergeStrategy: containers
     podSelector:
       matchLabels:
         app: sp-record

2. 以下のコマンドを実行して namespace にラベルを付けます。

   $ oc label ns my-namespace security.openshift.io/scc.podSecurityLabelSync=false pod-security.kubernetes.io/enforce=privileged pod-security.kubernetes.io/audit=privileged pod-security.kubernetes.io/warn=privileged --overwrite=true

3. 次の YAML を使用してワークロードを作成します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx-deploy
     namespace: my-namespace
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: sp-record
     template:
       metadata:
         labels:
           app: sp-record
       spec:
         serviceAccountName: spo-record-sa
         containers:
         - name: nginx-record
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

4. 個々のプロファイルを記録するには、次のコマンドを実行してデプロイメントを削除します。

   $ oc delete deployment nginx-deploy -n my-namespace

5. プロファイルをマージするには、次のコマンドを実行してプロファイルの記録を削除します。

   $ oc delete profilerecording test-recording -n my-namespace

6. マージ操作を開始して結果プロファイルを生成するには、次のコマンドを実行します。

   $ oc get selinuxprofiles -lspo.x-k8s.io/recording-id=test-recording -n my-namespace

   selinuxprofile の出力例

   NAME                          USAGE                                              STATE
   test-recording-nginx-record   test-recording-nginx-record_my-namespace.process   Installed

7. いずれかのコンテナーで使用されている権限を表示するには、次のコマンドを実行します。

   $ oc get selinuxprofiles test-recording-nginx-record -o yaml