2.5. サポート対象のポリシー

2.5.1. サンプル設定ポリシーの表
リンクのコピー

次のサンプル設定ポリシーを表示します。

Expand

表2.7 設定ポリシーの表のリスト
ポリシーのサンプル	説明
Namespace ポリシー	環境の分離と Namespace を使用した命名の一貫性を確保します。Kubernetes Namespace のドキュメントを参照してください。
Pod ポリシー	クラスターのワークロード設定を確認します。Kubernetes Pod のドキュメントを参照してください。
メモリー使用状況のポリシー	制限範囲を使用してワークロードリソースの使用を制限します。制限範囲のドキュメントを参照してください。
Pod セキュリティーポリシー (非推奨)	一貫したワークロードセキュリティーを確保します。Kubernetes Pod セキュリティーポリシーのドキュメントを参照してください。
Role policy Role binding policy	ロールとロールバインディングを使用して、ロールのアクセス権限とバインディングを管理します。Kubernetes RBAC のドキュメントを参照してください。
SCC (Security Context Constraints) ポリシー	Security Context Constraints を使用してワークロードのアクセス権限を管理します。Openshift Security Context Constraints のドキュメントを参照してください。
ETCD 暗号化ポリシー	etcd 暗号化でデータセキュリティーを確保します。Openshift etcd 暗号化のドキュメントを参照してください。
コンプライアンス Operator ポリシー	Compliance Operator をデプロイして、OpenSCAP を利用するクラスターのコンプライアンス状態をスキャンして適用します。Openshift Compliance Operator のドキュメントを参照してください。
Compliance Operator E8 のスキャン	Compliance Operator ポリシーを適用した後、Essential 8 (E8) スキャンをデプロイして、E8 セキュリティープロファイルへの準拠を確認します。Openshift Compliance Operator のドキュメントを参照してください。
Compliance Operator CIS のスキャン	Compliance Operator ポリシーを適用した後、Center for Internet Security (CIS) スキャンをデプロイメントして、CIS セキュリティープロファイルへの準拠を確認します。Openshift Compliance Operator のドキュメントを参照してください。
イメージ脆弱性ポリシー	Container Security Operator をデプロイし、クラスターで実行されている Pod で既知のイメージの脆弱性を検出します。Container Security Operator GitHub を参照してください。
Gatekeeper Operator の配置	Gatekeeper は、Open Policy Agent (OPA) ポリシーエンジンによって実行されるカスタムリソース定義 (CRD) ベースのポリシーを適用する受付 Webhook です。Gatekeeper のドキュメントを参照してください。
Gatekeeper のコンプライアンスポリシー	Gatekeeper をクラスターにデプロイした後、このサンプルの Gatekeeper ポリシーをデプロイして、クラスター上に作成された namespace が指定どおりにラベル付けされるようにします。

2.5.2. 追加設定なしに使用可能なポリシーのサポートマトリックス
リンクのコピー

Expand

表2.8 サポート表
Policy	Red Hat OpenShift Container Platform 3.11	Red Hat OpenShift Container Platform 4
メモリー使用状況のポリシー	x	x
Namespace ポリシー	x	x
イメージ脆弱性ポリシー	x	x
Pod ポリシー	x	x
Pod セキュリティーポリシー (非推奨)
ロールポリシー	x	x
Role binding ポリシー	x	x
SCC (Security Context Constraints) ポリシー	x	x
ETCD 暗号化ポリシー		x
gatekeeper ポリシー		x
コンプライアンス Operator ポリシー		x
E8 スキャンポリシー		x
OpenShift CIS スキャンポリシー		x
ポリシーセット		x

以下のポリシーサンプルを参照し、特定のポリシーの適用方法を確認します。

他のトピックについては、ガバナンスを参照してください。

2.5.3. メモリー使用状況のポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、メモリー使用状況ポリシーのステータスを監視します。メモリー使用状況ポリシーを使用して、メモリーおよびコンピュートの使用量を制限または制約します。詳細は、Kubernetes ドキュメントの Limit Ranges を参照してください。

以下のセクションでは、メモリー使用状況ポリシーの設定について説明します。

2.5.3.1. メモリー使用状況ポリシー YAML の設定
リンクのコピー

メモリー使用状況ポリシーは、以下の YAML ファイルのようになります。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType: mustonlyhave
              objectDefinition:
                apiVersion: v1
                kind: LimitRange
                metadata:
                  name:
                spec:
                  limits:
                  - default:
                      memory:
                    defaultRequest:
                      memory:
                    type:
        ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType: mustonlyhave
              objectDefinition:
                apiVersion: v1
                kind: LimitRange
                metadata:
                  name:
                spec:
                  limits:
                  - default:
                      memory:
                    defaultRequest:
                      memory:
                    type:
        ...

Copy to Clipboard

Toggle word wrap

2.5.3.2. メモリー使用状況のポリシーの表
リンクのコピー

Expand

表2.9 パラメーターの表
フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.3.3. メモリー使用状況ポリシーの例
リンクのコピー

ポリシーのサンプルを確認するには、policy-limitmemory.yaml を参照してください。詳細については、セキュリティーポリシーの管理を参照してください。ポリシーの概要に関するドキュメントと Kubernetes 設定ポリシーコントローラーを参照して、コントローラーによって監視されるその他の設定ポリシーを確認してください。

2.5.4. Namespace ポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、namespace ポリシーのステータスを監視します。Namespace ポリシーを適用し、namespace の特定のルールを定義します。

以下のセクションでは namespace ポリシーの設定について説明します。

2.5.4.1. Namespace ポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          object-templates:
            - complianceType:
              objectDefinition:
                kind: Namespace
                apiVersion: v1
                metadata:
                  name:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          object-templates:
            - complianceType:
              objectDefinition:
                kind: Namespace
                apiVersion: v1
                metadata:
                  name:
                ...

Copy to Clipboard

Toggle word wrap

2.5.4.2. Namespace ポリシー YAML の表
リンクのコピー

Expand

フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.4.3. Namespace ポリシーの例
リンクのコピー

ポリシーのサンプルを確認するには、policy-namespace.yaml を参照してください。

詳細については、セキュリティーポリシーの管理を参照してください。その他の設定ポリシーについては、ポリシーの概要に関するドキュメントと Kubernetes 設定ポリシーコントローラーを参照してください。

2.5.5. イメージ脆弱性ポリシー
リンクのコピー

イメージ脆弱性ポリシーを適用し、コンテナーセキュリティー Operator を利用してコンテナーイメージに脆弱性があるかどうかを検出します。このポリシーは、コンテナーセキュリティー Operator がインストールされていない場合は、これをマネージドクラスターにインストールします。

イメージ脆弱性ポリシーは、Kubernetes 設定ポリシーコントローラーがチェックします。セキュリティー Operator の詳細は、Quay リポジトリーの コンテナーセキュリティー Operator を参照してください。

注記:

イメージ脆弱性ポリシーは、非接続インストール中は機能しません。
イメージ脆弱性ポリシーは、IBM Power および IBM Z アーキテクチャーではサポートされません。これは Quay Container Security Operator に依存します。container-security-operator レジストリーには ppc64le または s390x のイメージがありません。

詳細は、以下のセクションを参照してください。

2.5.5.1. イメージ脆弱性ポリシーの YAML 設定
リンクのコピー

コンテナーセキュリティー operator ポリシーを作成すると、次のポリシーが含まれます。

名前とチャネルを参照するサブスクリプション (container-security-operator) を作成するポリシー。この設定ポリシーには、リソースを作成するために enforce する spec.remediationAction が設定されている必要があります。サブスクリプションは、サブスクリプションがサポートするプロファイルをコンテナーとしてプルします。以下の例を参照してください。

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-example-sub
spec:
  remediationAction: enforce  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: Subscription
        metadata:
          name: container-security-operator
          namespace: openshift-operators
        spec:
          # channel: quay-v3.3 # specify a specific channel if desired
          installPlanApproval: Automatic
          name: container-security-operator
          source: redhat-operators
          sourceNamespace: openshift-marketplace

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-example-sub
spec:
  remediationAction: enforce  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: Subscription
        metadata:
          name: container-security-operator
          namespace: openshift-operators
        spec:
          # channel: quay-v3.3 # specify a specific channel if desired
          installPlanApproval: Automatic
          name: container-security-operator
          source: redhat-operators
          sourceNamespace: openshift-marketplace

Copy to Clipboard

Toggle word wrap

コンテナーセキュリティー operator のインストールが成功したことを確認するために ClusterServiceVersion を監査するための inform 設定ポリシー。以下の例を参照してください。

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-status
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: ClusterServiceVersion
        metadata:
          namespace: openshift-operators
        spec:
          displayName: Red Hat Quay Container Security Operator
        status:
          phase: Succeeded   # check the CSV status to determine if operator is running or not

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-status
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: ClusterServiceVersion
        metadata:
          namespace: openshift-operators
        spec:
          displayName: Red Hat Quay Container Security Operator
        status:
          phase: Succeeded   # check the CSV status to determine if operator is running or not

Copy to Clipboard

Toggle word wrap

ImageManifestVuln オブジェクトがイメージの脆弱性スキャンによって作成されたかどうかを監査する inform 設定ポリシー。以下の例を参照してください。

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-example-imv
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  namespaceSelector:
    exclude: ["kube-*"]
    include: ["*"]
  object-templates:
    - complianceType: mustnothave # mustnothave any ImageManifestVuln object
      objectDefinition:
        apiVersion: secscan.quay.redhat.com/v1alpha1
        kind: ImageManifestVuln # checking for a Kind

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-imagemanifestvuln-example-imv
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  namespaceSelector:
    exclude: ["kube-*"]
    include: ["*"]
  object-templates:
    - complianceType: mustnothave # mustnothave any ImageManifestVuln object
      objectDefinition:
        apiVersion: secscan.quay.redhat.com/v1alpha1
        kind: ImageManifestVuln # checking for a Kind

Copy to Clipboard

Toggle word wrap

2.5.5.2. イメージ脆弱性ポリシーの例
リンクのコピー

policy-imagemanifestvuln.yaml を参照してください。詳細は、セキュリティーポリシーの管理を参照してください。コントローラーによって監視されるその他の設定ポリシーについては、Kubernetes 設定ポリシーコントローラーを参照してください。

2.5.6. Pod ポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、ロールポリシーのステータスを監視します。Pod ポリシーを適用し、Pod のコンテナールールを定義します。この情報を使用するには、Pod がクラスターに存在している必要があります。

以下のセクションでは、Pod ポリシーの設定について説明します。

2.5.6.1. Pod ポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name:
                spec:
                  containers:
                  - image:
                    name:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name:
                spec:
                  containers:
                  - image:
                    name:
                ...

Copy to Clipboard

Toggle word wrap

2.5.6.2. Pod ポリシーの表
リンクのコピー

Expand

表2.10 パラメーターの表
フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.6.3. Pod ポリシーの例
リンクのコピー

ポリシーのサンプルを確認するには、 policy-pod.yaml を参照してください。

設定コントローラーによって監視される他の設定ポリシーを表示するには、Kubernetes 設定ポリシーコントローラーを参照してください。また、ポリシーの YAML 構造と追加フィールドの完全な説明を確認するには、ポリシーの概要ドキュメントを参照してください。他のポリシーを管理するには、設定ポリシーの管理に関するドキュメントに戻ります。

2.5.7. Pod セキュリティーポリシー (非推奨)
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、Pod セキュリティーポリシーのステータスを監視します。Pod のセキュリティーポリシーを適用して Pod およびコンテナーのセキュリティーを保護します。

以下のセクションでは、Pod セキュリティーポリシーの設定について説明します。

2.5.7.1. Pod セキュリティーポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: policy/v1beta1
                kind: PodSecurityPolicy
                metadata:
                  name:
                  annotations:
                    seccomp.security.alpha.kubernetes.io/allowedProfileNames:
                spec:
                  privileged:
                  allowPrivilegeEscalation:
                  allowedCapabilities:
                  volumes:
                  hostNetwork:
                  hostPorts:
                  hostIPC:
                  hostPID:
                  runAsUser:
                  seLinux:
                  supplementalGroups:
                  fsGroup:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: policy/v1beta1
                kind: PodSecurityPolicy
                metadata:
                  name:
                  annotations:
                    seccomp.security.alpha.kubernetes.io/allowedProfileNames:
                spec:
                  privileged:
                  allowPrivilegeEscalation:
                  allowedCapabilities:
                  volumes:
                  hostNetwork:
                  hostPorts:
                  hostIPC:
                  hostPID:
                  runAsUser:
                  seLinux:
                  supplementalGroups:
                  fsGroup:
                ...

Copy to Clipboard

Toggle word wrap

2.5.7.2. Pod セキュリティーポリシーの表
リンクのコピー

Expand

表2.11 パラメーターの表
フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.7.3. Pod セキュリティーポリシーの例
リンクのコピー

Pod セキュリティーポリシーのサポートは、OpenShift Container Platform 4.12 以降、および Kubernetes v1.25 以降から削除されました。PodSecurityPolicy リソースを適用すると、次の非準拠メッセージを受け取る場合があります。

violation - couldn't find mapping resource with kind PodSecurityPolicy, please check if you have CRD deployed

violation - couldn't find mapping resource with kind PodSecurityPolicy, please check if you have CRD deployed

Copy to Clipboard

Toggle word wrap

非推奨の通知を含む詳細については、Kubernetes ドキュメントの Pod セキュリティーポリシー を参照してください。
サンプルポリシーを確認するには、policy-psp.yaml を参照してください。詳細は、設定ポリシーの管理を参照してください。
ポリシーの YAML 構造の完全な説明については、ポリシーの概要に関するドキュメントを参照してください。また、コントローラーによってモニターされるその他の設定ポリシーを表示するには、Kubernetes 設定ポリシーコントローラーを参照してください。

2.5.8. ロールポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、ロールポリシーのステータスを監視します。object-template にロールを定義して、クラスター内の特定ロールのルールおよびパーミッションを設定します。

以下のセクションでは、ロールポリシーの設定について説明します。

2.5.8.1. ロールポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: rbac.authorization.k8s.io/v1
                kind: Role
                metadata:
                  name:
                rules:
                  - apiGroups:
                    resources:
                    verbs:
                ...
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-role
  namespace:
placementRef:
  name: placement-policy-role
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-role
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-role
  namespace:
spec:
  clusterConditions:
    - type: ManagedClusterConditionAvailable
      status: "True"
  clusterSelector:
    matchExpressions:
      []

         ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: rbac.authorization.k8s.io/v1
                kind: Role
                metadata:
                  name:
                rules:
                  - apiGroups:
                    resources:
                    verbs:
                ...
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-role
  namespace:
placementRef:
  name: placement-policy-role
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-role
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-role
  namespace:
spec:
  clusterConditions:
    - type: ManagedClusterConditionAvailable
      status: "True"
  clusterSelector:
    matchExpressions:
      []

         ...

Copy to Clipboard

Toggle word wrap

2.5.8.2. ロールポリシーの表
リンクのコピー

Expand

表2.12 パラメーターの表
フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.8.3. ロールポリシーの例
リンクのコピー

ロールポリシーを適用して、クラスター内の特定のロールのルールおよびパーミッションを設定します。ロールの詳細は、ロールベースのアクセス制御を参照してください。ロールポリシーのサンプルを確認するには policy-role.yaml を参照してください。

ロールポリシーの管理方法は、設定ポリシーの管理を参照してください。コントローラーが監視する他の設定ポリシーについては、Kubernetes 設定ポリシーコントローラーページを参照してください。

2.5.9. Role binding ポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、role binding ポリシーのステータスを監視します。Role Binding ポリシーを適用し、ポリシーをマネージドクラスターの namespace にバインドします。

以下のセクションでは namespace ポリシーの設定について説明します。

2.5.9.1. Role Binding ポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                kind: RoleBinding # role binding must exist
                apiVersion: rbac.authorization.k8s.io/v1
                metadata:
                  name:
                subjects:
                - kind:
                  name:
                  apiGroup:
                roleRef:
                  kind:
                  name:
                  apiGroup:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                kind: RoleBinding # role binding must exist
                apiVersion: rbac.authorization.k8s.io/v1
                metadata:
                  name:
                subjects:
                - kind:
                  name:
                  apiGroup:
                roleRef:
                  kind:
                  name:
                  apiGroup:
                ...

Copy to Clipboard

Toggle word wrap

2.5.9.2. Role Binding ポリシーの表
リンクのコピー

Expand

フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.9.3. Role Binding ポリシーの例
リンクのコピー

ポリシーのサンプルを確認するには、policy-rolebinding.yaml を参照してください。ポリシーの YAML 構造と追加フィールドの完全な説明については、ポリシーの概要に関するドキュメントを参照してください。その他の設定ポリシーについては、Kubernetes 設定ポリシーコントローラーのドキュメントを参照してください。

2.5.10. SCC (Security Context Constraints) ポリシー
リンクのコピー

Kubernetes 設定ポリシーコントローラーは、SCC (Security Context Constraints) ポリシーのステータスを監視します。SCC (Security Context Constraints) ポリシーを適用し、ポリシーで条件を定義して Pod のパーミッションを制御します。

以下のセクションで、SCC ポリシーについての詳細を説明します。

2.5.10.1. SCC ポリシー YAML の設定
リンクのコピー

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: security.openshift.io/v1
                kind: SecurityContextConstraints
                metadata:
                  name:
                allowHostDirVolumePlugin:
                allowHostIPC:
                allowHostNetwork:
                allowHostPID:
                allowHostPorts:
                allowPrivilegeEscalation:
                allowPrivilegedContainer:
                fsGroup:
                readOnlyRootFilesystem:
                requiredDropCapabilities:
                runAsUser:
                seLinuxContext:
                supplementalGroups:
                users:
                volumes:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          namespaceSelector:
            exclude:
            include:
            matchLabels:
            matchExpressions:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: security.openshift.io/v1
                kind: SecurityContextConstraints
                metadata:
                  name:
                allowHostDirVolumePlugin:
                allowHostIPC:
                allowHostNetwork:
                allowHostPID:
                allowHostPorts:
                allowPrivilegeEscalation:
                allowPrivilegedContainer:
                fsGroup:
                readOnlyRootFilesystem:
                requiredDropCapabilities:
                runAsUser:
                seLinuxContext:
                supplementalGroups:
                users:
                volumes:
                ...

Copy to Clipboard

Toggle word wrap

2.5.10.2. SCC ポリシーの表
リンクのコピー

Expand

フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

SCC ポリシーの内容の説明は、OpenShift Container Platform ドキュメントの SCC (Security Context Constraints) の管理を参照してください。

2.5.10.3. SCC ポリシーの例
リンクのコピー

SCC (Security Context Constraints) ポリシーを適用し、ポリシーで条件を定義して Pod のパーミッションを制御します。詳細は、SCC (Security Context Constraints) の管理を参照してください。

ポリシーのサンプルを確認するには、 policy-scc.yaml を参照してください。ポリシーの YAML 構造と追加フィールドの完全な説明については、ポリシーの概要に関するドキュメントを参照してください。その他の設定ポリシーについては、Kubernetes 設定ポリシーコントローラーのドキュメントを参照してください。

2.5.11. ETCD 暗号化ポリシー
リンクのコピー

etcd-encryption ポリシーを適用して、ETCD データストアで機密データを検出するか、機密データの暗号化を有効にします。Kubernetes 設定ポリシーコントローラーは、etcd-encryption ポリシーのステータスを監視します。詳細は、OpenShift Container Platform ドキュメントの etcd データの暗号化を参照してください。注記: ETCD 暗号化ポリシーは、Red Hat OpenShift Container Platform 4 以降のみをサポートします。

以下のセクションでは、 etcd-encryption ポリシーの設定について説明します。

2.5.11.1. ETCD 暗号化ポリシーの YAML 設定
リンクのコピー

etcd-encryption ポリシーは、以下の YAML ファイルのようになります。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: config.openshift.io/v1
                kind: APIServer
                metadata:
                  name:
                spec:
                  encryption:
                ...

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  remediationAction:
  disabled:
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name:
        spec:
          remediationAction:
          severity:
          object-templates:
            - complianceType:
              objectDefinition:
                apiVersion: config.openshift.io/v1
                kind: APIServer
                metadata:
                  name:
                spec:
                  encryption:
                ...

Copy to Clipboard

Toggle word wrap

2.5.11.2. ETCD 暗号化ポリシーの表
リンクのコピー

Expand

表2.13 パラメーターの表
フィールド	任意または必須	説明
`apiVersion`	必須	この値は `policy.open-cluster-management.io/v1` に設定します。
`kind`	必須	ポリシーのタイプを指定するには、値を `Policy` に設定します。
`metadata.name`	必須	ポリシーリソースを識別する名前。
`metadata.namespace`	必須	ポリシーの namespace。
`spec.remediationAction`	任意	ポリシーの修正を指定します。パラメーターの値は `enforce` および `inform` です。この値はオプションです。`spec.policy-templates` で提供されるすべての値をオーバーライドするためです。
`spec.disabled`	必須	この値は `true` または `false` に設定します。`disabled` パラメーターを使用すると、ポリシーを有効または無効にすることができます。
`spec.policy-templates[].objectDefinition`	必須	マネージドクラスターに評価または適用する必要がある Kubernetes オブジェクトを含む設定ポリシーをリスト表示するために使用されます。

2.5.11.3. ETCD 暗号化ポリシーの例
リンクのコピー

ポリシーのサンプルについては、policy-etcdencryption.yaml を参照してください。ポリシーおよび設定ポリシーフィールドの詳細は、ポリシーの概要ドキュメントと Kubernetes 設定ポリシーコントローラーを参照してください。

2.5.12. コンプライアンス Operator ポリシー
リンクのコピー

コンプライアンス Operator は、OpenSCAP を実行する Operator で、Red Hat OpenShift Container Platform クラスターを必要なセキュリティーベンチマークに常に準拠させることができます。コンプライアンス Operator ポリシーを使用して、マネージドクラスターにコンプライアンス Operator をインストールできます。

コンプライアンス Operator ポリシーは、Kubernetes 設定ポリシーとして Red Hat Advanced Cluster Management に作成されます。コンプライアンス Operator ポリシーは、OpenShift Container Platform 4.6 および 4.7 でサポートされます。詳細は、OpenShift Container Platform ドキュメントのコンプライアンス Operator についてを参照してください。

注記: コンプライアンス Operator ポリシーは、IBM Power または IBM Z アーキテクチャーではサポートされていない OpenShift Container Platform コンプライアンス Operator に依存します。コンプライアンス Operator の詳細は、OpenShift Container Platform ドキュメントのコンプライアンス Operator についてを参照してください。

2.5.12.1. コンプライアンス Operator のリソース
リンクのコピー

コンプライアンス Operator ポリシーを作成すると、次のリソースが作成されます。

Operator インストール用のコンプライアンス Operator namespace (openshift-compliance):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-ns
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: v1
        kind: Namespace
        metadata:
          name: openshift-compliance

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-ns
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: v1
        kind: Namespace
        metadata:
          name: openshift-compliance

Copy to Clipboard

Toggle word wrap

対象の namespace を指定する Operator グループ (compliance-operator):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-operator-group
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1
        kind: OperatorGroup
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          targetNamespaces:
            - openshift-compliance

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-operator-group
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1
        kind: OperatorGroup
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          targetNamespaces:
            - openshift-compliance

Copy to Clipboard

Toggle word wrap

名前とチャネルを参照するためのサブスクリプション (comp-operator-subscription)。サブスクリプションは、サポートするプロファイルをコンテナーとしてプルします。

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-subscription
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: Subscription
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          channel: "4.7"
          installPlanApproval: Automatic
          name: compliance-operator
          source: redhat-operators
          sourceNamespace: openshift-marketplace

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-subscription
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: Subscription
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          channel: "4.7"
          installPlanApproval: Automatic
          name: compliance-operator
          source: redhat-operators
          sourceNamespace: openshift-marketplace

Copy to Clipboard

Toggle word wrap

コンプライアンス Operator ポリシーをインストールすると、compliance-operator 、ocp4 、および rhcos4 の Pod が作成されます。policy-compliance-operator-install.yaml のサンプルを参照してください。

コンプライアンス Operator をインストールした後に、E8 スキャンポリシーと OpenShift CIS スキャンポリシーを作成して適用することもできます。詳細は、E8 スキャンポリシーおよび OpenShift CIS スキャンポリシーを参照してください。

コンプライアンス Operator ポリシーの管理に関する詳細は、セキュリティポリシーの管理を参照してください。設定ポリシーの他のトピックについては、Kubernetes 設定ポリシーコントローラーを参照してください。

2.5.13. E8 スキャンポリシー
リンクのコピー

Essential 8 (E8) スキャンポリシーは、マスターノードとワーカーノードが E8 セキュリティープロファイルに準拠しているかどうかを確認するスキャンをデプロイします。E8 スキャンポリシーを適用するには、コンプライアンス Operator をインストールする必要があります。

E8 スキャンポリシーは、Kubernetes 設定ポリシーとして Red Hat Advanced Cluster Management に作成されます。E8 スキャンポリシーは OpenShift Container Platform 4.6 および 4.7 でサポートされます。詳細は、OpenShift Container Platform ドキュメントの コンプライアンス Operator について を参照してください。

2.5.13.1. E8 スキャンポリシーリソース
リンクのコピー

E8 スキャンポリシーを作成すると、次のリソースが作成されます。

スキャンするプロファイルを特定する ScanSettingBinding リソース (e8):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ScanSettingBinding
        metadata:
          name: e8
          namespace: openshift-compliance
        profiles:
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-e8
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: rhcos4-e8
        settingsRef:
          apiGroup: compliance.openshift.io/v1alpha1
          kind: ScanSetting
          name: default

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ScanSettingBinding
        metadata:
          name: e8
          namespace: openshift-compliance
        profiles:
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-e8
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: rhcos4-e8
        settingsRef:
          apiGroup: compliance.openshift.io/v1alpha1
          kind: ScanSetting
          name: default

Copy to Clipboard

Toggle word wrap

status フィールドを確認してスキャンが完了したかどうかを確認する ComplianceSuite リソース (compliance-suite-e8):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceSuite
        metadata:
          name: e8
          namespace: openshift-compliance
        status:
          phase: DONE

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceSuite
        metadata:
          name: e8
          namespace: openshift-compliance
        status:
          phase: DONE

Copy to Clipboard

Toggle word wrap

ComplianceCheckResult カスタムリソース (CR) を確認してスキャンスイートの結果を報告する ComplianceCheckResult リソース (compliance-suite-e8-results):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8-results
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: mustnothave # this template reports the results for scan suite: e8 by looking at ComplianceCheckResult CRs
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceCheckResult
        metadata:
          namespace: openshift-compliance
          labels:
            compliance.openshift.io/check-status: FAIL
            compliance.openshift.io/suite: e8

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-e8-results
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: mustnothave # this template reports the results for scan suite: e8 by looking at ComplianceCheckResult CRs
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceCheckResult
        metadata:
          namespace: openshift-compliance
          labels:
            compliance.openshift.io/check-status: FAIL
            compliance.openshift.io/suite: e8

Copy to Clipboard

Toggle word wrap

注記: 自動修復はサポート対象です。ScanSettingBinding リソースを作成するには修復アクションを enforce に設定します。

policy-compliance-operator-e8-scan.yaml の サンプルを参照してください。詳細は、セキュリティーポリシーの管理を参照してください。注記: E8 ポリシーの削除後に、これはターゲットクラスターから削除されます。

2.5.14. OpenShift CIS スキャンポリシー
リンクのコピー

OpenShift CIS スキャンポリシーは、マスターとワーカーノードをチェックして、OpenShift CIS セキュリティーベンチマークに準拠しているかどうかを確認するスキャンをデプロイします。OpenShift CIS ポリシーを適用するには、コンプライアンス Operator をインストールする必要があります。

OpenShift CIS ポリシーは、Kubernetes 設定ポリシーとして Red Hat Advanced Cluster Management に作成されます。OpenShift CIS スキャンポリシーは OpenShift Container Platform 4.6 および 4.7、4.9 でサポートされます。詳細は、OpenShift Container Platform ドキュメントのコンプライアンス Operator についてを参照してください。

2.5.14.1. OpenShift CIS リソース
リンクのコピー

OpenShift CIS スキャンポリシーを作成すると、次のリソースが作成されます。

スキャンするプロファイルを特定する ScanSettingBinding リソース (cis):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-cis-scan
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template creates ScanSettingBinding:cis
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ScanSettingBinding
        metadata:
          name: cis
          namespace: openshift-compliance
        profiles:
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-cis
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-cis-node
        settingsRef:
          apiGroup: compliance.openshift.io/v1alpha1
          kind: ScanSetting
          name: default

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-cis-scan
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template creates ScanSettingBinding:cis
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ScanSettingBinding
        metadata:
          name: cis
          namespace: openshift-compliance
        profiles:
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-cis
        - apiGroup: compliance.openshift.io/v1alpha1
          kind: Profile
          name: ocp4-cis-node
        settingsRef:
          apiGroup: compliance.openshift.io/v1alpha1
          kind: ScanSetting
          name: default

Copy to Clipboard

Toggle word wrap

status フィールドを確認してスキャンが完了したかどうかを確認する ComplianceSuite リソース (compliance-suite-cis):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-cis
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceSuite
        metadata:
          name: cis
          namespace: openshift-compliance
        status:
          phase: DONE

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-cis
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: musthave # this template checks if scan has completed by checking the status field
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceSuite
        metadata:
          name: cis
          namespace: openshift-compliance
        status:
          phase: DONE

Copy to Clipboard

Toggle word wrap

ComplianceCheckResult カスタムリソース (CR) を確認してスキャンスイートの結果を報告する ComplianceCheckResult リソース (compliance-suite-cis-results):

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-cis-results
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: mustnothave # this template reports the results for scan suite: cis by looking at ComplianceCheckResult CRs
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceCheckResult
        metadata:
          namespace: openshift-compliance
          labels:
            compliance.openshift.io/check-status: FAIL
            compliance.openshift.io/suite: cis

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: compliance-suite-cis-results
spec:
  remediationAction: inform
  severity: high
  object-templates:
    - complianceType: mustnothave # this template reports the results for scan suite: cis by looking at ComplianceCheckResult CRs
      objectDefinition:
        apiVersion: compliance.openshift.io/v1alpha1
        kind: ComplianceCheckResult
        metadata:
          namespace: openshift-compliance
          labels:
            compliance.openshift.io/check-status: FAIL
            compliance.openshift.io/suite: cis

Copy to Clipboard

Toggle word wrap

policy-compliance-operator-cis-scan.yaml ファイルのサンプルを参照してください。ポリシーの作成に関する詳細は、セキュリティーポリシーの管理を参照してください。

2.5.1. サンプル設定ポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.2. 追加設定なしに使用可能なポリシーのサポートマトリックスリンクのコピーリンクがクリップボードにコピーされました!

2.5.3. メモリー使用状況のポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.3.1. メモリー使用状況ポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.3.2. メモリー使用状況のポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.3.3. メモリー使用状況ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.4. Namespace ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.4.1. Namespace ポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.4.2. Namespace ポリシー YAML の表リンクのコピーリンクがクリップボードにコピーされました!

2.5.4.3. Namespace ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.5. イメージ脆弱性ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.5.1. イメージ脆弱性ポリシーの YAML 設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.5.2. イメージ脆弱性ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.6. Pod ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.6.1. Pod ポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.6.2. Pod ポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.6.3. Pod ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.7. Pod セキュリティーポリシー (非推奨)リンクのコピーリンクがクリップボードにコピーされました!

2.5.7.1. Pod セキュリティーポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.7.2. Pod セキュリティーポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.7.3. Pod セキュリティーポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.8. ロールポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.8.1. ロールポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.8.2. ロールポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.8.3. ロールポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.9. Role binding ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.9.1. Role Binding ポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.9.2. Role Binding ポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.9.3. Role Binding ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.10. SCC (Security Context Constraints) ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.10.1. SCC ポリシー YAML の設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.10.2. SCC ポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.10.3. SCC ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.11. ETCD 暗号化ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.11.1. ETCD 暗号化ポリシーの YAML 設定リンクのコピーリンクがクリップボードにコピーされました!

2.5.11.2. ETCD 暗号化ポリシーの表リンクのコピーリンクがクリップボードにコピーされました!

2.5.11.3. ETCD 暗号化ポリシーの例リンクのコピーリンクがクリップボードにコピーされました!

2.5.12. コンプライアンス Operator ポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.12.1. コンプライアンス Operator のリソースリンクのコピーリンクがクリップボードにコピーされました!

2.5.13. E8 スキャンポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.13.1. E8 スキャンポリシーリソースリンクのコピーリンクがクリップボードにコピーされました!

2.5.14. OpenShift CIS スキャンポリシーリンクのコピーリンクがクリップボードにコピーされました!

2.5.14.1. OpenShift CIS リソースリンクのコピーリンクがクリップボードにコピーされました!

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

2.5.1. サンプル設定ポリシーの表
リンクのコピー

2.5.2. 追加設定なしに使用可能なポリシーのサポートマトリックス
リンクのコピー

2.5.3. メモリー使用状況のポリシー
リンクのコピー

2.5.3.1. メモリー使用状況ポリシー YAML の設定
リンクのコピー

2.5.3.2. メモリー使用状況のポリシーの表
リンクのコピー

2.5.3.3. メモリー使用状況ポリシーの例
リンクのコピー

2.5.4. Namespace ポリシー
リンクのコピー

2.5.4.1. Namespace ポリシー YAML の設定
リンクのコピー

2.5.4.2. Namespace ポリシー YAML の表
リンクのコピー

2.5.4.3. Namespace ポリシーの例
リンクのコピー

2.5.5. イメージ脆弱性ポリシー
リンクのコピー

2.5.5.1. イメージ脆弱性ポリシーの YAML 設定
リンクのコピー

2.5.5.2. イメージ脆弱性ポリシーの例
リンクのコピー

2.5.6. Pod ポリシー
リンクのコピー

2.5.6.1. Pod ポリシー YAML の設定
リンクのコピー

2.5.6.2. Pod ポリシーの表
リンクのコピー

2.5.6.3. Pod ポリシーの例
リンクのコピー

2.5.7. Pod セキュリティーポリシー (非推奨)
リンクのコピー

2.5.7.1. Pod セキュリティーポリシー YAML の設定
リンクのコピー

2.5.7.2. Pod セキュリティーポリシーの表
リンクのコピー

2.5.7.3. Pod セキュリティーポリシーの例
リンクのコピー

2.5.8. ロールポリシー
リンクのコピー

2.5.8.1. ロールポリシー YAML の設定
リンクのコピー

2.5.8.2. ロールポリシーの表
リンクのコピー

2.5.8.3. ロールポリシーの例
リンクのコピー

2.5.9. Role binding ポリシー
リンクのコピー

2.5.9.1. Role Binding ポリシー YAML の設定
リンクのコピー

2.5.9.2. Role Binding ポリシーの表
リンクのコピー

2.5.9.3. Role Binding ポリシーの例
リンクのコピー

2.5.10. SCC (Security Context Constraints) ポリシー
リンクのコピー

2.5.10.1. SCC ポリシー YAML の設定
リンクのコピー

2.5.10.2. SCC ポリシーの表
リンクのコピー

2.5.10.3. SCC ポリシーの例
リンクのコピー

2.5.11. ETCD 暗号化ポリシー
リンクのコピー

2.5.11.1. ETCD 暗号化ポリシーの YAML 設定
リンクのコピー

2.5.11.2. ETCD 暗号化ポリシーの表
リンクのコピー

2.5.11.3. ETCD 暗号化ポリシーの例
リンクのコピー

2.5.12. コンプライアンス Operator ポリシー
リンクのコピー

2.5.12.1. コンプライアンス Operator のリソース
リンクのコピー

2.5.13. E8 スキャンポリシー
リンクのコピー

2.5.13.1. E8 スキャンポリシーリソース
リンクのコピー

2.5.14. OpenShift CIS スキャンポリシー
リンクのコピー

2.5.14.1. OpenShift CIS リソース
リンクのコピー