7.6.2. Pod への seccomp プロファイルの適用

手順

1. securityContext を定義する Pod オブジェクトを作成します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: Localhost
         localhostProfile: operator/profile1.json
     containers:
       - name: test-container
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
         securityContext:
           allowPrivilegeEscalation: false
           capabilities:
             drop: [ALL]

2. 次のコマンドを実行して、seccompProfile.localhostProfile 属性のプロファイルパスを表示します。

   $ oc get seccompprofile profile1 --output wide

   出力例

   NAME       STATUS     AGE   SECCOMPPROFILE.LOCALHOSTPROFILE
   profile1   Installed  14s   operator/profile1.json

3. 次のコマンドを実行して、localhost プロファイルへのパスを表示します。

   $ oc get sp profile1 --output=jsonpath='{.status.localhostProfile}'

   出力例

   operator/profile1.json

4. localhostProfile の出力をパッチファイルに適用します。

   spec:
     template:
       spec:
         securityContext:
           seccompProfile:
             type: Localhost
             localhostProfile: operator/profile1.json

5. 次のコマンドを実行して、プロファイルを他のワークロード (Deployment オブジェクトなど) に適用します。

   $ oc -n my-namespace patch deployment myapp --patch-file patch.yaml --type=merge

   出力例

   deployment.apps/myapp patched