7.7. SELinux プロファイルの管理

手順

1. 次のコマンドを実行してプロジェクトを作成します。

   $ oc new-project nginx-deploy

2. 次の SelinuxProfile オブジェクトを作成して、特権のないワークロードで使用できるポリシーを作成します。

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha2
   kind: SelinuxProfile
   metadata:
     name: nginx-secure
   spec:
     allow:
       '@self':
         tcp_socket:
         - listen
       http_cache_port_t:
         tcp_socket:
         - name_bind
       node_t:
         tcp_socket:
         - node_bind
     inherit:
     - kind: System
       name: container

3. 次のコマンドを実行して、selinuxd がポリシーをインストールするのを待ちます。

   $ oc wait --for=condition=ready selinuxprofile nginx-secure

   出力例

   selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure condition met

   ポリシーは、Security Profiles Operator が所有するコンテナー内の emptyDir に配置されます。ポリシーは Common Intermediate Language (CIL) 形式で /etc/selinux.d/<name>_<namespace>.cil に保存されます。

4. 以下のコマンドを実行して Pod を作成します。

   $ oc -n openshift-security-profiles rsh -c selinuxd ds/spod

検証

1. 次のコマンドを実行して、cat でファイルの内容を表示します。

   $ cat /etc/selinux.d/nginx-secure.cil

   出力例

   (block nginx-secure
   (blockinherit container)
   (allow process nginx-secure.process ( tcp_socket ( listen )))
   (allow process http_cache_port_t ( tcp_socket ( name_bind )))
   (allow process node_t ( tcp_socket ( node_bind )))
   )

2. 次のコマンドを実行して、ポリシーがインストールされていることを確認します。

   $ semodule -l | grep nginx-secure

   出力例

   nginx-secure