第11章 ストラテジーによるビルドのセキュリティー保護

手順

1. rbac.authorization.kubernetes.io/autoupdate アノテーションを適用します。

   $ oc edit clusterrolebinding system:build-strategy-docker-binding
   
   apiVersion: v1
   groupNames:
   - system:authenticated
   kind: ClusterRoleBinding
   metadata:
     annotations:
       rbac.authorization.kubernetes.io/autoupdate: "false" 1
     creationTimestamp: 2018-08-10T01:24:14Z
     name: system:build-strategy-docker-binding
     resourceVersion: "225"
     selfLink: /oapi/v1/clusterrolebindings/system%3Abuild-strategy-docker-binding
     uid: 17b1f3d4-9c3c-11e8-be62-0800277d20bf
   roleRef:
     name: system:build-strategy-docker
   subjects:
   - kind: SystemGroup
     name: system:authenticated
   userNames:
   - system:serviceaccount:management-infra:management-admin

   1

   rbac.authorization.kubernetes.io/autoupdate アノテーションの値を "false" に変更します。

2. ロールを削除します。

   $ oc adm policy remove-cluster-role-from-group system:build-strategy-docker system:authenticated

3. ビルドストラテジーのサブリソースもこれらのロールから削除されることを確認します。

   $ oc edit clusterrole admin
   $ oc edit clusterrole edit

4. それぞれのロールについて、無効にするストラテジーのリソースに対応する行を削除します。

   1. admin の Docker ビルドストラテジーの無効化

      kind: ClusterRole
      metadata:
        name: admin
      ...
      rules:
      - resources:
        - builds/custom
        - builds/docker 1
        - builds/source
        ...
      ...

      1

      admin ロールを持つユーザーに対して Docker ビルドをグローバルに無効にするためにこの行を削除します。