7.6. SELinux 프로필 관리

절차

1. 다음 SelinuxProfile 오브젝트를 생성하여 권한이 없는 워크로드와 함께 사용할 수 있는 정책을 생성합니다.

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha2
   kind: SelinuxProfile
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     allow:
       '@self':
         tcp_socket:
         - listen
       http_cache_port_t:
         tcp_socket:
         - name_bind
       node_t:
         tcp_socket:
         - node_bind
     inherit:
     - kind: System
       name: container

2. 다음 명령을 실행하여 selinuxd 가 정책을 설치할 때까지 기다립니다.

   $ oc wait --for=condition=ready -n nginx-deploy selinuxprofile nginx-secure

   출력 예

   selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure condition met

   정책은 Security Profiles Operator가 소유한 컨테이너의 emptyDir 에 배치됩니다. 정책은 /etc/selinux.d/<name>_<namespace>.cil 의 CIL(Common Intermediate Language) 형식으로 저장됩니다.

3. 다음 명령을 실행하여 Pod에 액세스합니다.

   $ oc -n openshift-security-profiles rsh -c selinuxd ds/spod

검증

1. 다음 명령을 실행하여 cat 을 사용하여 파일 내용을 확인합니다.

   $ cat /etc/selinux.d/nginx-secure_nginx-deploy.cil

   출력 예

   (block nginx-secure_nginx-deploy
   (blockinherit container)
   (allow process nginx-secure_nginx-deploy.process ( tcp_socket ( listen )))
   (allow process http_cache_port_t ( tcp_socket ( name_bind )))
   (allow process node_t ( tcp_socket ( node_bind )))
   )

2. 다음 명령을 실행하여 정책이 설치되었는지 확인합니다.

   $ semodule -l | grep nginx-secure

   출력 예

   nginx-secure_nginx-deploy

절차

1. 다음 명령을 실행하여 scc.podSecurityLabelSync=false 라벨을 nginx-deploy 네임스페이스에 적용합니다.

   $ oc label ns nginx-deploy security.openshift.io/scc.podSecurityLabelSync=false

2. 다음 명령을 실행하여 nginx-deploy 네임스페이스에 privileged 레이블을 적용합니다.

   $ oc label ns nginx-deploy --overwrite=true pod-security.kubernetes.io/enforce=privileged

3. 다음 명령을 실행하여 SELinux 프로필 사용 문자열을 가져옵니다.

   $ oc get selinuxprofile.security-profiles-operator.x-k8s.io/nginx-secure -n nginx-deploy -ojsonpath='{.status.usage}'

   출력 예

   nginx-secure_nginx-deploy.process%

4. .spec.containers[].securityContext.seLinuxOptions 속성의 워크로드 매니페스트에 출력 문자열을 적용합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx-secure
     namespace: nginx-deploy
   spec:
     containers:
       - image: nginxinc/nginx-unprivileged:1.21
         name: nginx
         securityContext:
           seLinuxOptions:
             # NOTE: This uses an appropriate SELinux type
             type: nginx-secure_nginx-deploy.process

   중요

   워크로드를 생성하기 전에 SELinux 유형이 있어야 합니다.

절차

1. 다음 명령을 실행하여 enable-recording=true 로 네임스페이스에 레이블을 지정합니다.

   $ oc label ns my-namespace spo.x-k8s.io/enable-recording=true

2. recorder: logs 변수를 포함하는 ProfileRecording 오브젝트를 생성합니다.

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     name: test-recording
   spec:
     kind: SelinuxProfile
     recorder: logs
     podSelector:
       matchLabels:
         app: my-app

3. 기록할 워크로드를 생성합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-pod
     labels:
       app: my-app
   spec:
     containers:
       - name: nginx
         image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
         ports:
           - containerPort: 8080
       - name: redis
         image: quay.io/security-profiles-operator/redis:6.2.1

4. 다음 명령을 입력하여 Pod가 Running 상태인지 확인합니다.

   $ oc -n openshift-security-profiles get pods

   출력 예

   NAME     READY   STATUS    RESTARTS   AGE
   my-pod   2/2     Running   0          18s

5. 보강기에서 해당 컨테이너에 대한 감사 로그를 수신함을 나타냅니다.

   $ oc -n openshift-security-profiles logs --since=1m --selector name=spod -c log-enricher

   출력 예

   I0517 13:55:36.383187  348295 enricher.go:376] log-enricher "msg"="audit" "container"="redis" "namespace"="my-namespace" "node"="ip-10-0-189-53.us-east-2.compute.internal" "perm"="name_bind" "pod"="my-pod" "profile"="test-recording_redis_6kmrb_1684331729" "scontext"="system_u:system_r:selinuxrecording.process:s0:c4,c27" "tclass"="tcp_socket" "tcontext"="system_u:object_r:redis_port_t:s0" "timestamp"="1684331735.105:273965" "type"="SELinux"

검증

1. Pod를 제거합니다.

   $ oc -n openshift-security-profiles delete pod my-pod

2. Security Profiles Operator가 두 가지 SELinux 프로필을 조정하는지 확인합니다.

   $ oc get selinuxprofiles -n my-namespace

   출력 예

   NAME                   USAGE                                       STATE
   test-recording-nginx   test-recording-nginx_my-namespace.process   Installed
   test-recording-redis   test-recording-redis_my-namespace.process   Installed