7.7.2.3. コントローラーと SecurityContextConstraints の複製

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project nginx-secure

2. 次の RoleBinding オブジェクトを作成して、SELinux ポリシーを nginx-secure namespace で使用できるようにします。

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: spo-nginx
     namespace: nginx-secure
   subjects:
   - kind: ServiceAccount
     name: spo-deploy-test
   roleRef:
     kind: Role
     name: spo-nginx
     apiGroup: rbac.authorization.k8s.io

3. Role オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     creationTimestamp: null
     name: spo-nginx
     namespace: nginx-secure
   rules:
   - apiGroups:
     - security.openshift.io
     resources:
     - securitycontextconstraints
     resourceNames:
     - privileged
     verbs:
     - use

4. ServiceAccount オブジェクトを作成します。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     creationTimestamp: null
     name: spo-deploy-test
     namespace: nginx-secure

5. Deployment オブジェクトを作成します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: selinux-test
     namespace: nginx-secure
     metadata:
       labels:
         app: selinux-test
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: selinux-test
     template:
       metadata:
         labels:
           app: selinux-test
       spec:
         serviceAccountName: spo-deploy-test
         securityContext:
           seLinuxOptions:
             type: nginx-secure.process 

   1

   
         containers:
         - name: nginx-unpriv
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

   1

   デプロイメントが作成される前に、.seLinuxOptions.type が存在している必要があります。

   注記

   SELinux タイプはワークロードで指定されておらず、SCC によって処理されます。デプロイと ReplicaSet によって Pod が作成されると、Pod は適切なプロファイルで実行されます。