7.7. SELinux プロファイルの管理

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project nginx-deploy

2. 次の SelinuxProfile オブジェクトを作成して、特権のないワークロードで使用できるポリシーを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha2
   kind: SelinuxProfile
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     allow:
       '@self':
         tcp_socket:
         - listen
       http_cache_port_t:
         tcp_socket:
         - name_bind
       node_t:
         tcp_socket:
         - node_bind
     inherit:
     - kind: System
       name: container

3. 次のコマンドを実行して、selinuxd がポリシーをインストールするのを待ちます。

   $ oc wait --for=condition=ready -n nginx-deploy selinuxprofile nginx-secure

   出力例

   selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure condition met

   ポリシーは、Security Profiles Operator が所有するコンテナー内の emptyDir に配置されます。ポリシーは Common Intermediate Language (CIL) 形式で /etc/selinux.d/<name>_<namespace>.cil に保存されます。

4. 以下のコマンドを実行して Pod を作成します。

   $ oc -n openshift-security-profiles rsh -c selinuxd ds/spod

検証

1. 次のコマンドを実行して、cat でファイルの内容を表示します。

   $ cat /etc/selinux.d/nginx-secure_nginx-deploy.cil

   出力例

   (block nginx-secure_nginx-deploy
   (blockinherit container)
   (allow process nginx-secure_nginx-deploy.process ( tcp_socket ( listen )))
   (allow process http_cache_port_t ( tcp_socket ( name_bind )))
   (allow process node_t ( tcp_socket ( node_bind )))
   )

2. 次のコマンドを実行して、ポリシーがインストールされていることを確認します。

   $ semodule -l | grep nginx-secure

   出力例

   nginx-secure_nginx-deploy

手順

1. 次のコマンドを実行して、scc.podSecurityLabelSync=false ラベルを nginx-deploy namespace に適用します。

   $ oc label ns nginx-deploy security.openshift.io/scc.podSecurityLabelSync=false

2. 次のコマンドを実行して、privileged ラベルを nginx-deploy namespace に適用します。

   $ oc label ns nginx-deploy --overwrite=true pod-security.kubernetes.io/enforce=privileged

3. 次のコマンドを実行して、SELinux プロファイルの使用文字列を取得します。

   $ oc get selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure -n nginx-deploy -ojsonpath='{.status.usage}'

   出力例

   nginx-secure_nginx-deploy.process

4. ワークロードマニフェストの出力文字列を .spec.containers[].securityContext.seLinuxOptions 属性に適用します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
       - image: nginxinc/nginx-unprivileged:1.21
         name: nginx
         securityContext:
           allowPrivilegeEscalation: false
           capabilities:
             drop: [ALL]
           seLinuxOptions:
             # NOTE: This uses an appropriate SELinux type
             type: nginx-secure_nginx-deploy.process

   重要

   ワークロードを作成する前に、SELinux type が存在している必要があります。

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project my-namespace

2. 次のコマンドを実行して、namespace に enable-recording=true のラベルを付けます。

   $ oc label ns my-namespace spo.x-k8s.io/enable-recording=true

3. recorder: logs 変数を含む ProfileRecording オブジェクトを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     namespace: my-namespace
     name: test-recording
   spec:
     kind: SelinuxProfile
     recorder: logs
     podSelector:
       matchLabels:
         app: my-app

4. 記録するワークロードを作成します。

   apiVersion: v1
   kind: Pod
   metadata:
     namespace: my-namespace
     name: my-pod
     labels:
       app: my-app
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
       - name: nginx
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
         ports:
           - containerPort: 8080
         securityContext:
           allowPrivilegeEscalation: false
           capabilities:
             drop: [ALL]
       - name: redis
         image: quay.io/security-profiles-operator/redis:6.2.1
         securityContext:
           allowPrivilegeEscalation: false
           capabilities:
             drop: [ALL]

5. 次のコマンドを入力して、Pod が Running 状態であることを確認します。

   $ oc -n my-namespace get pods

   出力例

   NAME     READY   STATUS    RESTARTS   AGE
   my-pod   2/2     Running   0          18s

6. エンリッチャーがそれらのコンテナーの監査ログを受信することを示していることを確認します。

   $ oc -n openshift-security-profiles logs --since=1m --selector name=spod -c log-enricher

   出力例

   I0517 13:55:36.383187  348295 enricher.go:376] log-enricher "msg"="audit" "container"="redis" "namespace"="my-namespace" "node"="ip-10-0-189-53.us-east-2.compute.internal" "perm"="name_bind" "pod"="my-pod" "profile"="test-recording_redis_6kmrb_1684331729" "scontext"="system_u:system_r:selinuxrecording.process:s0:c4,c27" "tclass"="tcp_socket" "tcontext"="system_u:object_r:redis_port_t:s0" "timestamp"="1684331735.105:273965" "type"="selinux"

検証

1. Pod を削除します。

   $ oc -n my-namepace delete pod my-pod

2. Security Profiles Operator が 2 つの SELinux プロファイルを調整することを確認します。

   $ oc get selinuxprofiles -lspo.x-k8s.io/recording-id=test-recording -n my-namespace

   selinuxprofile の出力例

   NAME                   USAGE                                       STATE
   test-recording-nginx   test-recording-nginx_my-namespace.process   Installed
   test-recording-redis   test-recording-redis_my-namespace.process   Installed