7.7.2.2. ProfileBindings を使用してワークロードをプロファイルにバインドする

手順

1. quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 イメージを使用する Pod をサンプルの SelinuxProfile プロファイルにバインドするには、Pod と SelinuxProfile オブジェクトと同じ namespace に ProfileBinding オブジェクトを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileBinding
   metadata:
     namespace: my-namespace
     name: nginx-binding
   spec:
     profileRef:
       kind: SelinuxProfile 

   1

   
       name: profile 

   2

   
     image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 

   3

   1

   kind: 変数はプロファイルの種類を参照します。

   2

   name: 変数は、プロファイルの名前を参照します。

   3

   イメージ属性にワイルドカードを使用する (image: "*") と、デフォルトのセキュリティープロファイルを有効にすることができます。

   重要

   image: "*" ワイルドカード属性を使用すると、すべての新しい Pod が、指定された namespace 内のデフォルトのセキュリティープロファイルにバインドされます。

2. 次のコマンドを実行して、namespace に enable-binding=true のラベルを付けます。

   $ oc label ns my-namespace spo.x-k8s.io/enable-binding=true

3. test-pod.yaml という名前の Pod を定義します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21

4. Pod を作成します。

   $ oc create -f test-pod.yaml

   注記

   Pod がすでに存在する場合、Pod を再作成しなければバインディングは適切に機能しません。