第9章 SecurityContextConstraints [security.openshift.io/v1]

allowHostDirVolumePlugin

boolean

allowHostDirVolumePlugin は、ポリシーがコンテナーに HostDir ボリュームプラグインの使用を許可するかどうかを決定します

allowHostIPC

boolean

allowHostIPC は、ポリシーがコンテナー内のホスト ipc を許可するかどうかを決定します。

allowHostNetwork

boolean

allowHostNetwork は、ポリシーが Pod 仕様で HostNetwork の使用を許可するかどうかを決定します。

allowHostPID

boolean

allowHostPID は、ポリシーがコンテナー内のホスト pid を許可するかどうかを決定します。

allowHostPorts

boolean

allowHostPorts は、ポリシーがコンテナー内のホストポートを許可するかどうかを決定します。

allowPrivilegeEscalation

``

allowPrivilegeEscalation は、Pod が特権の昇格を許可するように要求できるかどうかを決定します。指定しない場合は、デフォルトで true になります。

allowPrivilegedContainer

boolean

allowPrivilegedContainer は、コンテナーが特権としての実行を要求できるかどうかを判別します。

allowedCapabilities

``

allowedCapabilities は、コンテナーに追加するように要求できる機能のリストです。このフィールドの機能は、Pod 作成者の判断で追加される場合があります。AllowedCapabilities と RequiredDropCapabilities の両方に機能を追加することはできません。すべての機能を許可するには、'*' を使用できます。

allowedFlexVolumes

``

allowedFlexVolumes は、許可された Flexvolume のホワイトリストです。空または nil は、すべての Flexvolume を使用できることを示します。このパラメーターは、"Volumes" フィールドで Flexvolumes の使用が許可されている場合にのみ有効です。

allowedUnsafeSysctls

``

allowedUnsafeSysctls は、明示的に許可された安全でない sysctl のリストであり、デフォルトは none です。各エントリーは、通常の sysctl 名であるか、"*" で終わります。後者の場合、エントリーは許可される sysctl の接頭辞とみなされます。1 つの \* は、すべての安全でない sysctl が許可されることを意味します。Kubelet は、拒否を回避するために、許可されているすべての安全でない sysctl を明示的にホワイトリストに登録する必要があります。

たとえば、"foo/*" は、"foo/bar"、"foo/baz" などを許可し、"foo.\*" は、"foo.bar"、"foo.baz" などを許可します。

apiVersion

string

apiVersion はオブジェクトのこの表現のバージョンスキーマを定義します。サーバーは認識されたスキーマを最新の内部値に変換し、認識されない値は拒否することがあります。詳細は、https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources を参照してください。

defaultAddCapabilities

``

defaultAddCapabilities は、Pod 仕様で機能が明確に削除されない限り、コンテナーに追加されるデフォルトの機能セットです。DefaultAddCapabilities と RequiredDropCapabilities の両方に機能をリストすることはできません。

defaultAllowPrivilegeEscalation

``

defaultAllowPrivilegeEscalation は、プロセスが親プロセスよりも多くの特権を取得できるかどうかのデフォルト設定を制御します。

forbiddenSysctls

``

forbiddenSysctls は、明示的に禁止されている sysctl のリストであり、デフォルトは none です。各エントリーは、通常の sysctl 名であるか、"*" で終わります。後者の場合、エントリーは禁止されている sysctl の接頭辞とみなされます。1 つの \* は、すべての sysctl が禁止されていることを意味します。

たとえば、"foo/" は、"foo/bar"、"foo/baz" などを禁止し、"foo." は、"foo.bar"、"foo.baz" などを禁止します。

fsGroup

``

fsGroup は、SecurityContext によって使用される fs グループを決定するストラテジーです。

groups

``

このセキュリティーコンテキスト制約を使用する権限を持つグループ

kind

string

kind はこのオブジェクトが表す REST リソースを表す文字列の値です。サーバーはクライアントが要求を送信するエンドポイントからこれを推測できることがあります。これは更新できません。CamelCase を使用します。詳細は、https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds を参照してください。

metadata

ObjectMeta

標準オブジェクトのメタデータ。詳細は、https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata を参照してください。

priority

``

priority は、Users フィールドおよび Groups フィールドのアクセスに基づいて、特定の Pod 要求に対して最初に試行する SCC を評価するときに SCC の並べ替え順序に影響を与えます。int が高いほど、priority が高くなります。値を設定しないと、priority が 0 と見なされます。複数の SCC のスコアが等しい場合は、最も制限の厳しいものから最も制限の少ないものへと並び替えられます。優先度および制限のどちらも等しい場合、SCC は名前順に並べ替えられます。

readOnlyRootFilesystem

boolean

readOnlyRootFilesystem を true に設定すると、コンテナーは読み取り専用のルートファイルシステムで実行します。コンテナーが読み取り専用ではないルートファイルシステムでの実行を特に要求する場合、SCC は Pod を拒否する必要があります。false に設定すると、コンテナーは必要に応じて読み取り専用のルートファイルシステムで実行できますが、強制されることはありません。

requiredDropCapabilities

``

requiredDropCapabilities は、コンテナーから削除するケイパビリティーです。これらは削除する必要があり、追加はできません。

runAsUser

``

runAsUser は、SecurityContext で使用される RunAsUser を決定するストラテジーです。

seLinuxContext

``

seLinuxContext は、SecurityContext に設定されるラベルを指示するストラテジーです。

seccompProfiles

``

seccompProfiles は、Pod またはコンテナーの seccomp アノテーションに設定できる許可されるプロファイルをリスト表示します。未設定 (nil) または空の値は、Pod またはコンテナーによってプロファイルを指定できないことを意味します。ワイルドカード '*' を使用して、すべてのプロファイルを許可できます。Pod の値を生成するために使用される場合は、最初のワイルドカード以外のプロファイルがデフォルトとして使用されます。

supplementalGroups

``

supplementalGroups は、SecurityContext によって使用される補足グループを指示するストラテジーです。

users

``

このセキュリティーコンテキストの制約を使用する権限を持つユーザー

volumes

``

volumes は、許可されたボリュームプラグインのホワイトリストです。FSType は、VolumeSource のフィールド名 (azureFile、configMap、emptyDir) に直接対応します。すべてのボリュームを許可するには、"*" を使用できます。ボリュームを許可しない場合は、["none"] に設定します。