2.3. カスタム SCC およびカスタムサービスアカウントを使用したパイプライン実行とタスク実行

手順

1. fsGroup.type パラメーターを RunAsAny に設定してカスタム SCC を定義します。

   例: カスタム SCC

   apiVersion: security.openshift.io/v1
   kind: SecurityContextConstraints
   metadata:
     annotations:
       kubernetes.io/description: my-scc is a close replica of anyuid scc. pipelines-scc has fsGroup - RunAsAny.
     name: my-scc
   allowHostDirVolumePlugin: false
   allowHostIPC: false
   allowHostNetwork: false
   allowHostPID: false
   allowHostPorts: false
   allowPrivilegeEscalation: true
   allowPrivilegedContainer: false
   allowedCapabilities: null
   defaultAddCapabilities: null
   fsGroup:
     type: RunAsAny
   groups:
   - system:cluster-admins
   priority: 10
   readOnlyRootFilesystem: false
   requiredDropCapabilities:
   - MKNOD
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   volumes:
   - configMap
   - downwardAPI
   - emptyDir
   - persistentVolumeClaim
   - projected
   - secret

2. カスタム SCC を作成します。

   例: my-scc SCC の作成

   $ oc create -f my-scc.yaml

3. カスタムサービスアカウントを作成します。

   例: fsgroup-runasany サービスアカウントの作成

   $ oc create serviceaccount fsgroup-runasany

4. カスタム SCC をカスタムサービスアカウントに関連付けます。

   例: my-scc SCC を fsgroup-runasany サービスアカウントに関連付けます。

   $ oc adm policy add-scc-to-user my-scc -z fsgroup-runasany

   特権付きタスクにカスタムサービスアカウントを使用する必要がある場合は、以下のコマンドを実行して privileged SCC をカスタムサービスアカウントに関連付けることができます。

   例: fsgroup-runasany サービスアカウントを使用した privileged SCC の関連付け

   $ oc adm policy add-scc-to-user privileged -z fsgroup-runasany

5. パイプライン実行およびタスク実行でカスタムサービスアカウントを使用します。

   例: fsgroup-runasany カスタムサービスアカウントを使用した Pipeline 実行 YAML

   apiVersion: tekton.dev/v1
   kind: PipelineRun
   metadata:
     name: <pipeline-run-name>
   spec:
     pipelineRef:
       name: <pipeline-cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'

   例: fsgroup-runasany カスタムサービスアカウントを使用したタスク実行 YAML

   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: <task-run-name>
   spec:
     taskRef:
       name: <cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'