2.17. Linux ユーザー名前空間での Pod の実行

手順

1. 次のコマンドを実行して、Pod がデプロイされている OpenShift Container Platform の namespace のデフォルトユーザー ID (UID) およびグループ ID (GID) の範囲を編集します。

   $ oc edit ns/<namespace_name>

   namespace の例

   apiVersion: v1
   kind: Namespace
   metadata:
     annotations:
       openshift.io/description: ""
       openshift.io/display-name: ""
       openshift.io/requester: system:admin
       openshift.io/sa.scc.mcs: s0:c27,c24
       openshift.io/sa.scc.supplemental-groups: 1000/10000
       openshift.io/sa.scc.uid-range: 1000/10000
   # ...
     name: userns
   # ...

   各項目の説明:

   metadata.annotations.openshift.io/sa.scc.supplemental-groups

   Pod 仕様で必要なデフォルトの GID を指定します。Linux ユーザー名前空間の範囲は 65535 以下である必要があります。デフォルトは 1000000000/10000 です。

   metadata.annotations.openshift.io/sa.scc.uid-range

   Pod 仕様で必要なデフォルトの UID を指定します。Linux ユーザー名前空間の範囲は 65535 以下である必要があります。デフォルトは 1000000000/10000 です。

   注記

   範囲 1000/10000 は、ID 1000 から始まる 10,000 個の値を意味するため、1000 から 10,999 までの範囲の ID を指定します。

2. 適切な SCC を使用して動作するように設定したワークロードを作成し、hostUsers パラメーターを false に設定して、Linux ユーザー名前空間の使用を有効にします。

   1. 以下のような YAML ファイルを作成します。

      Pod 仕様の例

      apiVersion: v1
      kind: Pod
      metadata:
        name: userns-pod
      spec:
        securityContext:
          runAsNonRoot: true
          seccompProfile:
            type: RuntimeDefault
        hostUsers: false
        containers:
          name: userns-container
          image: registry.access.redhat.com/ubi9
          command: ["sleep", "1000"]
          securityContext:
            runAsUser: 1000
            runAsGroup: 1000
            runAsNonRoot: true
            procMount: Unmasked
            capabilities:
              add:
              - "SETGID"
              - "SETUID"
      # ...

      各項目の説明:

      spec.hostUsers

      Pod をユーザー名前空間で実行するかどうかを指定します。false の場合、Pod は Pod 用に作成した新しいユーザー名前空間で実行されます。true の場合、Pod はホストのユーザー名前空間で実行されます。デフォルトは true です。

      spec.containers.securityContext.runAsUser

      コンテナー内で実行されるプロセスのユーザー ID を指定します。これは、namespace オブジェクトで設定した範囲内に収まっている必要があります。

      spec.containers.securityContext.runAsGroup

      コンテナー内で実行されるプロセスのグループ ID を指定します。これは、namespace オブジェクトで設定した範囲内に収まっている必要があります。

      spec.containers.securityContext.runAsNonRoot

      コンテナー内のプロセスを 0 以外の UID を持つユーザーで実行することを指定します。

      spec.containers.securityContext.procMount

      コンテナーに使用する proc マウントのタイプを指定します。unmasked 値を設定すると、コンテナーの /proc ファイルシステムが、コンテナーのプロセスによって読み取り/書き込み可能な状態でマウントされます。デフォルトは Default です。この値はオプションです。

      spec.containers.securityContext.capabilities.add

      ユーザー名前空間に設定する Linux 機能を指定します。これにより、完全なルートアクセスを与えることなく特権アクションが許可されます。技術的に言えば、ユーザー名前空間の中でケイパビリティーを設定する方が、ユーザー名前空間の外で設定するよりも安全です。ケイパビリティーのスコープがユーザー名前空間の内部にあることで制限され、一般的に安全であると考えられるためです。しかし、信頼できないワークロードに CAP_SYS_ADMIN などの Pod ケイパビリティーを付与すると、コンテナー化されたプロセスがアクセスできる潜在的なカーネルの攻撃対象領域が広がり、悪用可能な脆弱性が発見されるおそれがあります。したがって、ユーザー名前空間内のケイパビリティーは、Pod セキュリティーアドミッションでは baseline レベルで許可されます。この値はオプションです。

   2. 以下のコマンドを実行してオブジェクトを作成します。

      $ oc create -f <file_name>.yaml

検証

1. 作成した Pod 内のコンテナーで使用されているユーザー ID とグループ ID を確認します。Pod は Linux ユーザー名前空間内にあります。

   1. Pod 内のコンテナーでシェルセッションを開始します。

      $ oc rsh -c <container_name> pod/<pod_name>

      コマンドの例

      $ oc rsh -c userns-container pod/userns-pod

   2. コンテナー内で使用されているユーザー ID とグループ ID を表示します。

      sh-5.1$ id

      出力例

      uid=1000(1000) gid=1000(1000) groups=1000(1000) 

      1

      1

      コンテナーの UID とグループは、Pod 仕様で設定したものと同じである必要があります。

   3. コンテナーのユーザー名前空間で使用されているユーザー ID を表示します。

      sh-5.1$ lsns -t user

      出力例

              NS TYPE  NPROCS PID USER COMMAND
      4026532447 user       3   1 1000 /usr/bin/coreutils --coreutils-prog-shebang=sleep /usr/bin/sleep 1000 

      1

      1

      プロセスの UID は、Pod 仕様で設定したものと同じである必要があります。

   4. 次のコマンドを使用して、コンテナーシェルセッションを終了します。

      sh-5.1$ exit

2. ノードによって使用されている UID を確認します。ノードは Linux ユーザー名前空間の外部にあります。このユーザー ID がコンテナーで使用されている UID と異なっている必要があります。

   1. そのノードのデバッグセッションを開始します。

      $ oc debug node/ci-ln-z5vppzb-72292-8zp2b-worker-c-q8sh9

      コマンドの例

      $ oc debug node/ci-ln-z5vppzb-72292-8zp2b-worker-c-q8sh9

   2. /host をデバッグシェル内のルートディレクトリーとして設定します。

      sh-5.1# chroot /host

   3. ノードによって使用されている UID を表示します。

      sh-5.1#  lsns -t user

      コマンドの例

              NS TYPE  NPROCS   PID USER       COMMAND
      4026531837 user     233     1 root       /usr/lib/systemd/systemd --switched-root --system --deserialize 28
      4026532447 user       1  4767 2908816384 /usr/bin/coreutils --coreutils-prog-shebang=sleep /usr/bin/sleep 1000 

      1

      1

      UID は、Pod 仕様で設定したものと異なる必要があります。

   4. 次のコマンドを使用してデバッグセッションを終了します。

      sh-5.1#  exit

      sh-5.1#  exit

3. /proc ファイルシステムがコンテナーに unmasked の状態でマウントされていることを確認します。これは、次のコマンドの出力に、読み取り/書き込み権限 (rw) が含まれていることからわかります。

   $ oc exec <pod_name> -- mount | grep /proc

   出力例

   proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)