7.7. SELinux 프로필 관리

프로세스

1. quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 이미지를 사용하는 Pod를 SelinuxProfile 프로필 예제에 바인딩하려면 Pod 및 SelinuxProfile 오브젝트를 사용하여 동일한 네임스페이스에 ProfileBinding 오브젝트를 생성합니다.

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileBinding
   metadata:
     namespace: my-namespace
     name: nginx-binding
   spec:
     profileRef:
       kind: SelinuxProfile 1
       name: profile 2
     image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 3

   1

   kind: 변수는 프로필의 종류를 나타냅니다.

   2

   name: 변수는 프로필의 이름을 나타냅니다.

   3

   이미지 특성에서 와일드카드를 사용하여 기본 보안 프로필을 활성화할 수 있습니다. image: "*"

   중요

   image: "*" 와일드카드 속성을 사용하면 모든 새 Pod가 지정된 네임스페이스의 기본 보안 프로필로 바인딩됩니다.

2. 다음 명령을 실행하여 enable-binding=true 로 네임스페이스에 레이블을 지정합니다.

   $ oc label ns my-namespace spo.x-k8s.io/enable-binding=true

3. test-pod.yaml 이라는 Pod를 정의합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21

4. Pod를 생성합니다.

   $ oc create -f test-pod.yaml

   참고

   Pod가 이미 존재하는 경우 바인딩이 제대로 작동하려면 Pod를 다시 생성해야 합니다.

프로세스

1. 다음 명령을 실행하여 프로젝트를 생성합니다.

   $ oc new-project nginx-secure

2. 다음 RoleBinding 오브젝트를 생성하여 nginx-secure 네임스페이스에서 SELinux 정책을 사용할 수 있습니다.

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: spo-nginx
     namespace: nginx-secure
   subjects:
   - kind: ServiceAccount
     name: spo-deploy-test
   roleRef:
     kind: Role
     name: spo-nginx
     apiGroup: rbac.authorization.k8s.io

3. Role 오브젝트를 생성합니다.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     creationTimestamp: null
     name: spo-nginx
     namespace: nginx-secure
   rules:
   - apiGroups:
     - security.openshift.io
     resources:
     - securitycontextconstraints
     resourceNames:
     - privileged
     verbs:
     - use

4. ServiceAccount 오브젝트를 생성합니다.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     creationTimestamp: null
     name: spo-deploy-test
     namespace: nginx-secure

5. Deployment 오브젝트를 생성합니다.

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: selinux-test
     namespace: nginx-secure
     metadata:
       labels:
         app: selinux-test
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: selinux-test
     template:
       metadata:
         labels:
           app: selinux-test
       spec:
         serviceAccountName: spo-deploy-test
         securityContext:
           seLinuxOptions:
             type: nginx-secure_nginx-secure.process 1
         containers:
         - name: nginx-unpriv
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

   1

   배포가 생성되기 전에 .seLinuxOptions.type 이 있어야 합니다.

   참고

   SELinux 유형은 워크로드에 지정되지 않으며 SCC에서 처리합니다. 배포 및 ReplicaSet 을 통해 Pod를 생성하면 Pod가 적절한 프로필과 함께 실행됩니다.

프로세스

1. mergeStrategy: containers 변수를 포함하도록 ProfileRecording 오브젝트를 편집합니다.

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     # The name of the Recording is the same as the resulting SelinuxProfile CRD
     # after reconciliation.
     name: test-recording
     namespace: my-namespace
   spec:
     kind: SelinuxProfile
     recorder: logs
     mergeStrategy: containers
     podSelector:
       matchLabels:
         app: sp-record

2. 다음 명령을 실행하여 네임스페이스에 레이블을 지정합니다.

   $ oc label ns my-namespace security.openshift.io/scc.podSecurityLabelSync=false pod-security.kubernetes.io/enforce=privileged pod-security.kubernetes.io/audit=privileged pod-security.kubernetes.io/warn=privileged --overwrite=true

3. 다음 YAML을 사용하여 워크로드를 생성합니다.

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx-deploy
     namespace: my-namespace
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: sp-record
     template:
       metadata:
         labels:
           app: sp-record
       spec:
         serviceAccountName: spo-record-sa
         containers:
         - name: nginx-record
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

4. 개별 프로필을 기록하려면 다음 명령을 실행하여 배포를 삭제합니다.

   $ oc delete deployment nginx-deploy -n my-namespace

5. 프로필을 병합하려면 다음 명령을 실행하여 프로필 레코딩을 삭제합니다.

   $ oc delete profilerecording test-recording -n my-namespace

6. 병합 작업을 시작하고 결과 프로필을 생성하려면 다음 명령을 실행합니다.

   $ oc get selinuxprofiles -lspo.x-k8s.io/recording-id=test-recording -n my-namespace

   selinuxprofiles의 출력 예

   NAME                          USAGE                                              STATE
   test-recording-nginx-record   test-recording-nginx-record_my-namespace.process   Installed

7. 컨테이너에서 사용하는 권한을 보려면 다음 명령을 실행합니다.

   $ oc get selinuxprofiles test-recording-nginx-record -o yaml