第1章 セキュリティーのベストプラクティス

より回復力のある開発環境を促進するのに役立つ Red Hat OpenShift Dev Spaces の主なベストプラクティスを概説します。

Red Hat OpenShift Dev Spaces は OpenShift 上で実行され、プラットフォームおよび、そのプラットフォーム上で機能する製品の基盤を提供します。OpenShift のドキュメントは、セキュリティ強化の第一歩となります。

デフォルトでは、OpenShift Dev Spaces は各ユーザーに対して一意の <username>-devspaces プロジェクトをプロビジョニングします。または、クラスター管理者は、OpenShift レベルでプロジェクトのセルフプロビジョニングを無効にし、CheCluster カスタムリソースで namespace の自動プロビジョニングをオフにすることもできます。

devEnvironments:
  defaultNamespace:
    autoProvision: false

この設定では、OpenShift Dev Spaces に対して適切なアクセスを柔軟に選び提供できます。クラスター管理者は、各ユーザーのプロビジョニングを制御し、リソース制限やクォータを含むさまざまな設定を明示的に設定できます。プロジェクトプロビジョニングの詳細は、「プロジェクトの事前プロビジョニング」 を参照してください。

ユーザーが初めて Red Hat OpenShift Dev Spaces にアクセスすると、対応する RoleBinding が <username>-devspaces プロジェクトに作成されます。

ユーザーに namespace で使用する権限を付与できるすべてのリソースとアクションが以下にリストされています。

この目的のために、さまざまなグループやユーザーに対するきめ細かなアクセス設定に使用できるオプションのプロパティーが、CheCluster カスタムリソースで利用できます。

以下は、アクセス設定の例です。

 networking:
    auth:
      advancedAuthorization:
        allowUsers:
          - user-a
          - user-b
        denyUsers:
          - user-c
        allowGroups:
          - openshift-group-a
          - openshift-group-b
        denyGroups:
          - openshift-group-c

CDE Gateway コンテナーは、開発者の Kubernetes ロールをチェックします。ロールによって CDE Pod へのアクセスが許可されている場合は、開発環境への接続が許可されます。デフォルトでは、namespace の所有者だけが CDE Pod にアクセスできます。

"spec": {
  "containers": [
    "securityContext": {
            "allowPrivilegeEscalation": true,
            "capabilities": {
               "add": ["SETGID", "SETUID"],
               "drop": ["ALL","KILL","MKNOD"]
            },
            "readOnlyRootFilesystem": false,
            "runAsNonRoot": true,
            "runAsUser": 1001110000
   }
  ]
 }

これにより、ユーザーは CDE 内からコンテナーイメージを構築することができます。

デフォルトでは、Red Hat OpenShift Dev Spaces は、ユーザーに特定の SecurityContextConstraint (SCC) を割り当て、ユーザーがそのような機能を持つ Pod を起動できるようにします。この SCC は、デフォルトの restricted SCC と比較してユーザーに多くの機能を付与しますが、anyuid SCC と比較すると機能は少なくなります。このデフォルトの SCC は、OpenShift Dev Spaces namespace に事前に作成され、container-build という名前が付けられています。

CheCluster カスタムリソースで次のプロパティーを設定すると、ユーザーに追加の機能と SCC が割り当てられなくなります。

spec:
  devEnvironments:
    disableContainerBuildCapabilities: true

これらのメカニズムは、OpenShift クラスター内のリソース管理、安定性、公平性の向上に貢献します。リソースクォータ と 制限範囲 の詳細は、OpenShift のドキュメントを参照してください。

Red Hat OpenShift Dev Spaces がサポートされており、制限された環境にインストールできます。インストール手順は 公式ドキュメント に記載されています。