13.4. CCS クラスターの Security Context Constraints の作成

手順

1. scc-admin.yaml という名前の YAML ファイルで SCC を定義します。

   kind: SecurityContextConstraints
   apiVersion: security.openshift.io/v1
   metadata:
     name: scc-admin
   allowPrivilegedContainer: true
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: RunAsAny
   fsGroup:
     type: RunAsAny
   supplementalGroups:
     type: RunAsAny
   users:
   - my-admin-user
   groups:
   - my-admin-group

   Copy to Clipboard Toggle word wrap

   オプションとして、requiredDropCapabilities フィールドに必要な値を設定して、SCC の特定の機能を取り除くことができます。指定された機能はコンテナーからドロップされます。すべてのケイパビリティーを破棄するには、ALL を指定します。たとえば、KILL 機能、MKNOD 機能、および SYS_CHROOT 機能のない SCC を作成するには、以下を SCC オブジェクトに追加します。

   requiredDropCapabilities:
   - KILL
   - MKNOD
   - SYS_CHROOT

   Copy to Clipboard Toggle word wrap
   注記

   allowedCapabilities と requiredDropCapabilities の両方に、機能を追加できません。

   CRI-O は、Docker ドキュメント に記載されている同じ一連の機能の値をサポートします。

2. ファイルを渡して SCC を作成します。

   $ oc create -f scc-admin.yaml

   Copy to Clipboard Toggle word wrap

   出力例

   securitycontextconstraints "scc-admin" created

   Copy to Clipboard Toggle word wrap