第13章 seccomp プロファイルの設定

手順

1. 次のコマンドを実行して、Pod に設定されている Security Context Constraint (SCC) とデフォルトの seccomp プロファイルを確認できます。

   1. namespace で実行されている Pod を確認します。

      $ oc get pods -n <namespace>

      Copy to Clipboard Toggle word wrap

      たとえば、workshop namespace で実行されている Pod を確認するには、次を実行します。

      $ oc get pods -n workshop

      Copy to Clipboard Toggle word wrap

      出力例

      NAME                READY   STATUS      RESTARTS   AGE
      parksmap-1-4xkwf    1/1     Running     0          2m17s
      parksmap-1-deploy   0/1     Completed   0          2m22s

      Copy to Clipboard Toggle word wrap

   2. Pod を調べます。

      $ oc get pod parksmap-1-4xkwf -n workshop -o yaml

      Copy to Clipboard Toggle word wrap

      出力例

      apiVersion: v1
      kind: Pod
      metadata:
        annotations:
          k8s.v1.cni.cncf.io/network-status: |-
            [{
                "name": "openshift-sdn",
                "interface": "eth0",
                "ips": [
                    "10.131.0.18"
                ],
                "default": true,
                "dns": {}
            }]
          k8s.v1.cni.cncf.io/network-status: |-
            [{
                "name": "openshift-sdn",
                "interface": "eth0",
                "ips": [
                    "10.131.0.18"
                ],
                "default": true,
                "dns": {}
            }]
          openshift.io/deployment-config.latest-version: "1"
          openshift.io/deployment-config.name: parksmap
          openshift.io/deployment.name: parksmap-1
          openshift.io/generated-by: OpenShiftWebConsole
          openshift.io/scc: restricted-v2 

      1

      
          seccomp.security.alpha.kubernetes.io/pod: runtime/default 

      2

      Copy to Clipboard Toggle word wrap

      1

      ワークロードが別の SCC にアクセスできない場合、restricted-v2 SCC がデフォルトで追加されます。

      2

      4.16 で新しく作成された Pod には、SCC で義務付けられたとおり、runtime/default に設定された seccomp プロファイルがあります。