5.11. 高度なコンプライアンス Operator タスクの実行

手順

1. ファイルから ConfigMap オブジェクトを作成します。

   $ oc -n openshift-compliance \
   create configmap nist-moderate-modified \
   --from-file=tailoring.xml=/path/to/the/tailoringFile.xml

   Copy to Clipboard Toggle word wrap

2. スイートに属するスキャンでテーラリングファイルを参照します。

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ComplianceSuite
   metadata:
     name: workers-compliancesuite
   spec:
     debug: true
     scans:
       - name: workers-scan
         profile: xccdf_org.ssgproject.content_profile_moderate
         content: ssg-rhcos4-ds.xml
         contentImage: quay.io/complianceascode/ocp4:latest
         debug: true
     tailoringConfigMap:
         name: nist-moderate-modified
     nodeSelector:
       node-role.kubernetes.io/worker: ""

   Copy to Clipboard Toggle word wrap

手順

1. restricted-adjusted-compliance.yaml という名前の YAML ファイルで SCC を定義します。

   SecurityContextConstraints オブジェクト定義

     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowPrivilegedContainer: false
     allowedCapabilities: null
     apiVersion: security.openshift.io/v1
     defaultAddCapabilities: null
     fsGroup:
       type: MustRunAs
     kind: SecurityContextConstraints
     metadata:
       name: restricted-adjusted-compliance
     priority: 30 

   1

   
     readOnlyRootFilesystem: false
     requiredDropCapabilities:
     - KILL
     - SETUID
     - SETGID
     - MKNOD
     runAsUser:
       type: MustRunAsRange
     seLinuxContext:
       type: MustRunAs
     supplementalGroups:
       type: RunAsAny
     users:
     - system:serviceaccount:openshift-compliance:api-resource-collector 

   2

   
     volumes:
     - configMap
     - downwardAPI
     - emptyDir
     - persistentVolumeClaim
     - projected
     - secret

   Copy to Clipboard Toggle word wrap

   1

   この SCC の優先度は、system:authenticated グループに適用される他のどの SCC よりも高くなければなりません。

   2

   コンプライアンスオペレータースキャナー Pod で使用されるサービスアカウント。

2. SCC を作成します。

   $ oc create -n openshift-compliance  -f restricted-adjusted-compliance.yaml

   Copy to Clipboard Toggle word wrap

   出力例

   securitycontextconstraints.security.openshift.io/restricted-adjusted-compliance created

   Copy to Clipboard Toggle word wrap

検証

1. SCC が作成されたことを確認します。

   $ oc get -n openshift-compliance scc restricted-adjusted-compliance

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                             PRIV    CAPS         SELINUX     RUNASUSER        FSGROUP     SUPGROUP   PRIORITY   READONLYROOTFS   VOLUMES
   restricted-adjusted-compliance   false   <no value>   MustRunAs   MustRunAsRange   MustRunAs   RunAsAny   30         false            ["configMap","downwardAPI","emptyDir","persistentVolumeClaim","projected","secret"]

   Copy to Clipboard Toggle word wrap