15.4. 새 보안 컨텍스트 제약 조건 생성
새 SCC를 생성하려면 다음을 수행합니다.
JSON 또는 YAML 파일에 SCC를 정의합니다.
보안 컨텍스트 제한 조건 오브젝트 정의
kind: SecurityContextConstraints apiVersion: v1 metadata: name: scc-admin allowPrivilegedContainer: true runAsUser: type: RunAsAny seLinuxContext: type: RunAsAny fsGroup: type: RunAsAny supplementalGroups: type: RunAsAny users: - my-admin-user groups: - my-admin-group
필요한 경우
requiredDropCapabilities필드를 원하는 값으로 설정하여 SCC에 드롭 기능을 추가할 수 있습니다. 지정된 기능은 컨테이너에서 삭제됩니다. 예를 들어KILL,MKNOD및SYS_CHROOT필수 삭제 기능을 사용하여 SCC를 생성하려면 SCC 오브젝트에 다음을 추가합니다.requiredDropCapabilities: - KILL - MKNOD - SYS_CHROOT
Docker 설명서에서 사용 가능한 값 목록을 확인할 수 있습니다.
작은 정보기능이 Docker로 전달되므로 특수한
ALL값을 사용하여 가능한 모든 기능을 삭제할 수 있습니다.그런 다음
oc create를 실행하고 파일을 전달하여 파일을 생성합니다.$ oc create -f scc_admin.yaml securitycontextconstraints "scc-admin" created
SCC가 생성되었는지 확인합니다.
$ oc get scc scc-admin NAME PRIV CAPS SELINUX RUNASUSER FSGROUP SUPGROUP PRIORITY READONLYROOTFS VOLUMES scc-admin true [] RunAsAny RunAsAny RunAsAny RunAsAny <none> false [awsElasticBlockStore azureDisk azureFile cephFS cinder configMap downwardAPI emptyDir fc flexVolume flocker gcePersistentDisk glusterfs iscsi nfs persistentVolumeClaim photonPersistentDisk quobyte rbd secret vsphere]
