5.6. Compliance Operator 검사 관리

프로세스

1. 다음 명령을 실행하여 ScanSetting 오브젝트를 검사합니다.

   $ oc describe scansettings default -n openshift-compliance

   Copy to Clipboard Toggle word wrap

   출력 예

   Name:                  default
   Namespace:             openshift-compliance
   Labels:                <none>
   Annotations:           <none>
   API Version:           compliance.openshift.io/v1alpha1
   Kind:                  ScanSetting
   Max Retry On Timeout:  3
   Metadata:
     Creation Timestamp:  2024-07-16T14:56:42Z
     Generation:          2
     Resource Version:    91655682
     UID:                 50358cf1-57a8-4f69-ac50-5c7a5938e402
   Raw Result Storage:
     Node Selector:
       node-role.kubernetes.io/master:
     Pv Access Modes:
       ReadWriteOnce 

   1

   
     Rotation:            3 

   2

   
     Size:                1Gi 

   3

   
     Storage Class Name:  standard 

   4

   
     Tolerations:
       Effect:              NoSchedule
       Key:                 node-role.kubernetes.io/master
       Operator:            Exists
       Effect:              NoExecute
       Key:                 node.kubernetes.io/not-ready
       Operator:            Exists
       Toleration Seconds:  300
       Effect:              NoExecute
       Key:                 node.kubernetes.io/unreachable
       Operator:            Exists
       Toleration Seconds:  300
       Effect:              NoSchedule
       Key:                 node.kubernetes.io/memory-pressure
       Operator:            Exists
   Roles:
     master 

   5

   
     worker 

   6

   
   Scan Tolerations: 

   7

   
     Operator:           Exists
   Schedule:             0 1 * * * 

   8

   
   Show Not Applicable:  false
   Strict Node Scan:     true
   Suspend:              false
   Timeout:              30m
   Events:               <none>

   Copy to Clipboard Toggle word wrap

   1

   Compliance Operator는 검사 결과가 포함된 PV(영구 볼륨)를 생성합니다. 기본적으로 PV는 Compliance Operator에서 클러스터에 구성된 스토리지 클래스에 대한 가정을 할 수 없기 때문에 액세스 모드 ReadWriteOnce를 사용합니다. 대부분의 클러스터에서 ReadWriteOnce 액세스 모드를 사용할 수 있습니다. 검사 결과를 가져오려면 볼륨을 바인딩하는 도우미 Pod를 사용하여 이를 수행할 수 있습니다. ReadWriteOnce 액세스 모드를 사용하는 볼륨은 한 번에 하나의 Pod에서만 마운트할 수 있으므로 도우미 Pod를 삭제해야 합니다. 그러지 않으면 Compliance Operator가 후속 검사에 볼륨을 재사용할 수 없습니다.

   2

   Compliance Operator는 세 번의 후속 검사 결과를 볼륨에 보관합니다. 이전 검사는 순환됩니다.

   3

   Compliance Operator는 검사 결과에 대해 1GB의 스토리지를 할당합니다.

   4

   scansetting.rawResultStorage.storageClassName 필드는 원시 결과를 저장하기 위해 PersistentVolumeClaim 오브젝트를 생성할 때 사용할 storageClassName 값을 지정합니다. 기본값은 null이며 클러스터에 구성된 기본 스토리지 클래스를 사용하려고 합니다. 기본 클래스가 지정되지 않은 경우 기본 클래스를 설정해야 합니다.

   5 6

   검사 설정에서 클러스터 노드를 검사하는 프로필을 사용하는 경우 이러한 노드 역할을 검사합니다.

   7

   기본 검사 설정 오브젝트는 모든 노드를 검사합니다.

   8

   기본 검사 설정 오브젝트는 매일 01:00에 검사를 실행합니다.

   기본 검사 설정 대신 다음과 같은 설정이 있는 default-auto-apply를 사용할 수 있습니다.

   Name:                      default-auto-apply
   Namespace:                 openshift-compliance
   Labels:                    <none>
   Annotations:               <none>
   API Version:               compliance.openshift.io/v1alpha1
   Auto Apply Remediations:   true 

   1

   
   Auto Update Remediations:  true 

   2

   
   Kind:                      ScanSetting
   Metadata:
     Creation Timestamp:  2022-10-18T20:21:00Z
     Generation:          1
     Managed Fields:
       API Version:  compliance.openshift.io/v1alpha1
       Fields Type:  FieldsV1
       fieldsV1:
         f:autoApplyRemediations:
         f:autoUpdateRemediations:
         f:rawResultStorage:
           .:
           f:nodeSelector:
             .:
             f:node-role.kubernetes.io/master:
           f:pvAccessModes:
           f:rotation:
           f:size:
           f:tolerations:
         f:roles:
         f:scanTolerations:
         f:schedule:
         f:showNotApplicable:
         f:strictNodeScan:
       Manager:         compliance-operator
       Operation:       Update
       Time:            2022-10-18T20:21:00Z
     Resource Version:  38840
     UID:               8cb0967d-05e0-4d7a-ac1c-08a7f7e89e84
   Raw Result Storage:
     Node Selector:
       node-role.kubernetes.io/master:
     Pv Access Modes:
       ReadWriteOnce
     Rotation:  3
     Size:      1Gi
     Tolerations:
       Effect:              NoSchedule
       Key:                 node-role.kubernetes.io/master
       Operator:            Exists
       Effect:              NoExecute
       Key:                 node.kubernetes.io/not-ready
       Operator:            Exists
       Toleration Seconds:  300
       Effect:              NoExecute
       Key:                 node.kubernetes.io/unreachable
       Operator:            Exists
       Toleration Seconds:  300
       Effect:              NoSchedule
       Key:                 node.kubernetes.io/memory-pressure
       Operator:            Exists
   Roles:
     master
     worker
   Scan Tolerations:
     Operator:           Exists
   Schedule:             0 1 * * *
   Show Not Applicable:  false
   Strict Node Scan:     true
   Events:               <none>

   Copy to Clipboard Toggle word wrap

   1 2

   autoUpdateRemediations 및 autoApplyRemediations 플래그를 true로 설정하면 추가 단계 없이 자동으로 조정되는 ScanSetting 오브젝트를 쉽게 생성할 수 있습니다.

2. 기본 ScanSetting 오브젝트에 바인딩하는 ScanSettingBinding 오브젝트를 생성하고 cis 및 cis-node 프로파일을 사용하여 클러스터를 검사합니다. 예를 들면 다음과 같습니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: cis-compliance
     namespace: openshift-compliance
   profiles:
     - name: ocp4-cis-node
       kind: Profile
       apiGroup: compliance.openshift.io/v1alpha1
     - name: ocp4-cis
       kind: Profile
       apiGroup: compliance.openshift.io/v1alpha1
   settingsRef:
     name: default
     kind: ScanSetting
     apiGroup: compliance.openshift.io/v1alpha1

   Copy to Clipboard Toggle word wrap

3. 다음을 실행하여 ScanSettingBinding 오브젝트를 생성합니다.

   $ oc create -f <file-name>.yaml -n openshift-compliance

   Copy to Clipboard Toggle word wrap

   프로세스의 이 시점에서 ScanSettingBinding 오브젝트는 Binding 및 Bound 설정을 기반으로 조정됩니다. Compliance Operator는 ComplianceSuite 오브젝트 및 관련 ComplianceScan 오브젝트를 생성합니다.

4. 다음을 실행하여 컴플라이언스 검사 진행 상황을 따르십시오.

   $ oc get compliancescan -w -n openshift-compliance

   Copy to Clipboard Toggle word wrap

   검사는 스캔 단계를 통해 진행되며 완료되면 DONE 단계에 도달합니다. 대부분의 경우 검사 결과는 NON-COMPLIANT입니다. 검사 결과를 검토하고 업데이트 적용 작업을 시작하여 클러스터를 준수하도록 할 수 있습니다. 자세한 내용은 Compliance Operator 수정 관리를 참조하십시오.

프로세스

1. 다음 명령을 실행하여 검사할 호스팅 클러스터의 이름과 네임스페이스 를 가져옵니다.

   $ oc get hostedcluster -A

   Copy to Clipboard Toggle word wrap

   출력 예

   NAMESPACE       NAME                   VERSION   KUBECONFIG                              PROGRESS    AVAILABLE   PROGRESSING   MESSAGE
   local-cluster   79136a1bdb84b3c13217   4.13.5    79136a1bdb84b3c13217-admin-kubeconfig   Completed   True        False         The hosted control plane is available

   Copy to Clipboard Toggle word wrap

2. 관리 클러스터에서 검사 프로필을 확장한 TailoredProfile 을 생성하고 스캔할 Hosted Cluster의 이름과 네임스페이스를 정의합니다.

   management-tailoredprofile.yaml의 예

   apiVersion: compliance.openshift.io/v1alpha1
   kind: TailoredProfile
   metadata:
     name: hypershift-cisk57aw88gry
     namespace: openshift-compliance
   spec:
     description: This profile test required rules
     extends: ocp4-cis 

   1

   
     title: Management namespace profile
     setValues:
     - name: ocp4-hypershift-cluster
       rationale: This value is used for HyperShift version detection
       value: 79136a1bdb84b3c13217 

   2

   
     - name: ocp4-hypershift-namespace-prefix
       rationale: This value is used for HyperShift control plane namespace detection
       value: local-cluster 

   3

   Copy to Clipboard Toggle word wrap

   1

   변수. 호스트된 컨트롤 플레인 관리 클러스터에서 ocp4-cis 및 ocp4-pci-dss 프로필만 지원됩니다.

   2

   값은 이전 단계의 출력에서 NAME 입니다.

   3

   값은 이전 단계의 출력에서 NAMESPACE 입니다.

3. TailoredProfile을 생성합니다.

   $ oc create -n openshift-compliance -f mgmt-tp.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. RHCOS(Red Hat Enterprise Linux CoreOS) ProfileBundle에 사용 가능한 규칙을 찾습니다.

   $ oc get rules.compliance -n openshift-compliance -l compliance.openshift.io/profile-bundle=rhcos4

   Copy to Clipboard Toggle word wrap

2. 해당 ProfileBundle에서 사용 가능한 변수를 찾습니다.

   $ oc get variables.compliance -n openshift-compliance -l compliance.openshift.io/profile-bundle=rhcos4

   Copy to Clipboard Toggle word wrap

3. nist-moderate-modified 라는 맞춤형 프로필을 만듭니다.

   1. nist-moderate-modified 맞춤형 프로필에 추가할 규칙을 선택합니다. 이 예제에서는 두 개의 규칙을 비활성화하고 하나의 값을 변경하여 rhcos4-moderate 프로필을 확장합니다. rationale 값을 사용하여 이러한 변경이 이루어진 이유를 설명합니다.

      예: new-profile-node.yaml

      apiVersion: compliance.openshift.io/v1alpha1
      kind: TailoredProfile
      metadata:
        name: nist-moderate-modified
      spec:
        extends: rhcos4-moderate
        description: NIST moderate profile
        title: My modified NIST moderate profile
        disableRules:
        - name: rhcos4-file-permissions-var-log-messages
          rationale: The file contains logs of error messages in the system
        - name: rhcos4-account-disable-post-pw-expiration
          rationale: No need to check this as it comes from the IdP
        setValues:
        - name: rhcos4-var-selinux-state
          rationale: Organizational requirements
          value: permissive

      Copy to Clipboard Toggle word wrap

      Expand

      표 5.9. spec 변수의 속성

      속성	설명
      extends	이 TailoredProfile이 빌드되는 Profile 오브젝트의 이름입니다.
      title	TailoredProfile의 사람이 읽을 수 있는 제목입니다.
      disableRules	이름 및 이유 쌍 목록입니다. 각 이름은 비활성화할 규칙 오브젝트의 이름을 나타냅니다. 이유 값은 규칙이 비활성화된 이유를 설명하는 사람이 읽을 수 있는 텍스트입니다.
      manualRules	이름 및 이유 쌍 목록입니다. 수동 규칙이 추가되면 검사 결과 상태가 항상 수동 이 되고 수정 사항이 생성되지 않습니다. 이 속성은 자동이며 기본적으로 수동 규칙으로 설정할 때 값이 없습니다.
      enableRules	이름 및 이유 쌍 목록입니다. 각 이름은 활성화할 규칙 오브젝트의 이름을 나타냅니다. 이유 값은 규칙이 활성화된 이유를 설명하는 사람이 읽을 수 있는 텍스트입니다.
      description	TailoredProfile을 설명하는 사람이 읽을 수 있는 텍스트입니다.
      setValues	이름, 이유 및 값 그룹화 목록입니다. 각 이름은 설정된 값의 이름을 나타냅니다. 이유는 집합을 설명하는 사람이 읽을 수 있는 텍스트입니다. 값은 실제 설정입니다.

      Show more

   2. tailoredProfile.spec.manualRules 속성을 추가합니다.

      예제 tailoredProfile.spec.manualRules.yaml

      apiVersion: compliance.openshift.io/v1alpha1
      kind: TailoredProfile
      metadata:
        name: ocp4-manual-scc-check
      spec:
        extends: ocp4-cis
        description: This profile extends ocp4-cis by forcing the SCC check to always return MANUAL
        title: OCP4 CIS profile with manual SCC check
        manualRules:
          - name: ocp4-scc-limit-container-allowed-capabilities
            rationale: We use third party software that installs its own SCC with extra privileges

      Copy to Clipboard Toggle word wrap

   3. TailoredProfile 오브젝트를 생성합니다.

      $ oc create -n openshift-compliance -f new-profile-node.yaml 

      1

      Copy to Clipboard Toggle word wrap

      1

      TailoredProfile 오브젝트는 기본 openshift-compliance 네임스페이스에 생성됩니다.

      출력 예

      tailoredprofile.compliance.openshift.io/nist-moderate-modified created

      Copy to Clipboard Toggle word wrap

4. 새 nist-moderate-modified 맞춤형 프로필을 기본 ScanSetting 오브젝트에 바인딩하도록 ScanSettingBinding 오브젝트를 정의합니다.

   예제 new-scansettingbinding.yaml

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: nist-moderate-modified
   profiles:
     - apiGroup: compliance.openshift.io/v1alpha1
       kind: Profile
       name: ocp4-moderate
     - apiGroup: compliance.openshift.io/v1alpha1
       kind: TailoredProfile
       name: nist-moderate-modified
   settingsRef:
     apiGroup: compliance.openshift.io/v1alpha1
     kind: ScanSetting
     name: default

   Copy to Clipboard Toggle word wrap

5. ScanSettingBinding 오브젝트를 생성합니다.

   $ oc create -n openshift-compliance -f new-scansettingbinding.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   scansettingbinding.compliance.openshift.io/nist-moderate-modified created

   Copy to Clipboard Toggle word wrap

1. ComplianceSuite 오브젝트를 살펴봅니다.

   $ oc get compliancesuites nist-moderate-modified \
   -o json -n openshift-compliance | jq '.status.scanStatuses[].resultsStorage'

   Copy to Clipboard Toggle word wrap

   출력 예

   {
        "name": "ocp4-moderate",
        "namespace": "openshift-compliance"
   }
   {
        "name": "nist-moderate-modified-master",
        "namespace": "openshift-compliance"
   }
   {
        "name": "nist-moderate-modified-worker",
        "namespace": "openshift-compliance"
   }

   Copy to Clipboard Toggle word wrap

   원시 결과에 액세스할 수 있는 영구 볼륨 클레임이 표시됩니다.

2. 결과 중 하나의 이름과 네임스페이스를 사용하여 원시 데이터 위치를 확인합니다.

   $ oc get pvc -n openshift-compliance rhcos4-moderate-worker

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                 	STATUS   VOLUME                                 	CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   rhcos4-moderate-worker   Bound	pvc-548f6cfe-164b-42fe-ba13-a07cfbc77f3a   1Gi    	RWO        	gp2        	92m

   Copy to Clipboard Toggle word wrap

3. 볼륨을 마운트하는 Pod를 생성하고 결과를 복사하여 원시 결과를 가져옵니다.

   $ oc create -n openshift-compliance -f pod.yaml

   Copy to Clipboard Toggle word wrap

   pod.yaml의 예

   apiVersion: "v1"
   kind: Pod
   metadata:
     name: pv-extract
   spec:
     containers:
       - name: pv-extract-pod
         image: registry.access.redhat.com/ubi9/ubi
         command: ["sleep", "3000"]
         volumeMounts:
         - mountPath: "/workers-scan-results"
           name: workers-scan-vol
     volumes:
       - name: workers-scan-vol
         persistentVolumeClaim:
           claimName: rhcos4-moderate-worker

   Copy to Clipboard Toggle word wrap

4. Pod가 실행되면 결과를 다운로드합니다.

   $ oc cp pv-extract:/workers-scan-results -n openshift-compliance .

   Copy to Clipboard Toggle word wrap
   중요

   영구 볼륨을 마운트하는 Pod를 생성하면 클레임이 Bound로 유지됩니다. 사용 중인 볼륨의 스토리지 클래스에 ReadWriteOnce로 설정된 권한이 있는 경우 한 번에 하나의 Pod에서만 볼륨을 마운트할 수 있습니다. 완료 시 Pod를 삭제해야 합니다. 그러지 않으면 Operator에서 Pod를 예약하고 이 위치에 결과를 계속 저장할 수 없습니다.

5. 추출이 완료되면 Pod를 삭제할 수 있습니다.

   $ oc delete pod pv-extract -n openshift-compliance

   Copy to Clipboard Toggle word wrap

프로세스

1. 노드를 나열합니다.

   $ oc get nodes -n openshift-compliance

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                                       STATUS  ROLES  AGE    VERSION
   ip-10-0-128-92.us-east-2.compute.internal  Ready   master 5h21m  v1.27.3
   ip-10-0-158-32.us-east-2.compute.internal  Ready   worker 5h17m  v1.27.3
   ip-10-0-166-81.us-east-2.compute.internal  Ready   worker 5h17m  v1.27.3
   ip-10-0-171-170.us-east-2.compute.internal Ready   master 5h21m  v1.27.3
   ip-10-0-197-35.us-east-2.compute.internal  Ready   master 5h22m  v1.27.3

   Copy to Clipboard Toggle word wrap

2. 노드에 레이블을 추가합니다.

   $ oc -n openshift-compliance \
   label node ip-10-0-166-81.us-east-2.compute.internal \
   node-role.kubernetes.io/<machine_config_pool_name>=

   Copy to Clipboard Toggle word wrap

   출력 예

   node/ip-10-0-166-81.us-east-2.compute.internal labeled

   Copy to Clipboard Toggle word wrap

3. 사용자 지정 MachineConfigPool CR을 생성합니다.

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfigPool
   metadata:
     name: <machine_config_pool_name>
     labels:
       pools.operator.machineconfiguration.openshift.io/<machine_config_pool_name>: '' 

   1

   
   spec:
     machineConfigSelector:
     matchExpressions:
     - {key: machineconfiguration.openshift.io/role, operator: In, values: [worker,<machine_config_pool_name>]}
     nodeSelector:
     matchLabels:
       node-role.kubernetes.io/<machine_config_pool_name>: ""

   Copy to Clipboard Toggle word wrap

   1

   labels 필드는 MCP(Machine config pool)에 추가할 레이블 이름을 정의합니다.

4. MCP가 성공적으로 생성되었는지 확인합니다.

   $ oc get mcp -w

   Copy to Clipboard Toggle word wrap

프로세스

1. ScanSettingBinding CR에 저장될 ScanSetting 오브젝트에 예제 역할을 추가합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSetting
   metadata:
     name: default
     namespace: openshift-compliance
   rawResultStorage:
     rotation: 3
     size: 1Gi
   roles:
   - worker
   - master
   - example
   scanTolerations:
   - effect: NoSchedule
     key: node-role.kubernetes.io/master
     operator: Exists
   schedule: '0 1 * * *'

   Copy to Clipboard Toggle word wrap

2. ScanSettingBinding CR을 사용하는 검사를 생성합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: cis
     namespace: openshift-compliance
   profiles:
   - apiGroup: compliance.openshift.io/v1alpha1
     kind: Profile
     name: ocp4-cis
   - apiGroup: compliance.openshift.io/v1alpha1
     kind: Profile
     name: ocp4-cis-node
   settingsRef:
     apiGroup: compliance.openshift.io/v1alpha1
     kind: ScanSetting
     name: default

   Copy to Clipboard Toggle word wrap

프로세스

1. 아래 예제에서는 ocp4-ocp-allowed-registries-for-import 규칙을 사용하며 기본 OpenShift Container Platform 설치에서 실패합니다. oc get rule.compliance/ocp4-ocp-allowed-registries-for-import -oyaml 규칙을 검사합니다. 이 규칙은 allowedRegistriesForImport 특성을 설정하여 사용자가 이미지를 가져올 수 있는 레지스트리를 제한합니다. 규칙의 warning 특성에는 점검된 API 오브젝트도 표시되므로 이를 수정하고 문제를 해결할 수 있습니다.

   $ oc edit image.config.openshift.io/cluster

   Copy to Clipboard Toggle word wrap

   출력 예

   apiVersion: config.openshift.io/v1
   kind: Image
   metadata:
     annotations:
       release.openshift.io/create-only: "true"
     creationTimestamp: "2020-09-10T10:12:54Z"
     generation: 2
     name: cluster
     resourceVersion: "363096"
     selfLink: /apis/config.openshift.io/v1/images/cluster
     uid: 2dcb614e-2f8a-4a23-ba9a-8e33cd0ff77e
   spec:
     allowedRegistriesForImport:
     - domainName: registry.redhat.io
   status:
     externalRegistryHostnames:
     - default-route-openshift-image-registry.apps.user-cluster-09-10-12-07.devcluster.openshift.com
     internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

   Copy to Clipboard Toggle word wrap

2. 검사를 다시 실행합니다.

   $ oc -n openshift-compliance \
   annotate compliancescans/rhcos4-e8-worker compliance.openshift.io/rescan=

   Copy to Clipboard Toggle word wrap

프로세스

1. 오래된 수정을 검색합니다.

   $ oc -n openshift-compliance get complianceremediations \
   -l complianceoperator.openshift.io/outdated-remediation=

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                              STATE
   workers-scan-no-empty-passwords   Outdated

   Copy to Clipboard Toggle word wrap

   현재 적용된 수정은 Outdated 특성에 저장되고 적용되지 않은 새 수정은 Current 특성에 저장됩니다. 새 버전에 만족한다면 Outdated 필드를 제거하십시오. 업데이트된 콘텐츠를 유지하려면 Current 및 Outdated 특성을 제거하십시오.

2. 최신 버전의 수정을 적용합니다.

   $ oc -n openshift-compliance patch complianceremediations workers-scan-no-empty-passwords \
   --type json -p '[{"op":"remove", "path":/spec/outdated}]'

   Copy to Clipboard Toggle word wrap

3. 수정 상태가 Outdated에서 Applied로 전환됩니다.

   $ oc get -n openshift-compliance complianceremediations workers-scan-no-empty-passwords

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                              STATE
   workers-scan-no-empty-passwords   Applied

   Copy to Clipboard Toggle word wrap

4. 노드에 최신 수정 버전이 적용되고 노드가 재부팅됩니다.

프로세스

1. apply 플래그를 false 로 설정합니다.

   $ oc -n openshift-compliance \
   patch complianceremediations/rhcos4-moderate-worker-sysctl-net-ipv4-conf-all-accept-redirects \
   --patch '{"spec":{"apply":false}}' --type=merge

   Copy to Clipboard Toggle word wrap

2. 수정 상태가 NotApplied로 변경되고 복합 MachineConfig 오브젝트가 수정을 포함하지 않도록 다시 렌더링됩니다.

   중요

   수정으로 영향을 받는 모든 노드가 재부팅됩니다.

프로세스

1. one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available 수정의 scan-name 및 컴플라이언스 검사를 찾습니다.

   $ oc -n openshift-compliance get remediation \ one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available -o yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ComplianceRemediation
   metadata:
     annotations:
       compliance.openshift.io/xccdf-value-used: var-kubelet-evictionhard-imagefs-available
     creationTimestamp: "2022-01-05T19:52:27Z"
     generation: 1
     labels:
       compliance.openshift.io/scan-name: one-rule-tp-node-master 

   1

   
       compliance.openshift.io/suite: one-rule-ssb-node
     name: one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available
     namespace: openshift-compliance
     ownerReferences:
     - apiVersion: compliance.openshift.io/v1alpha1
       blockOwnerDeletion: true
       controller: true
       kind: ComplianceCheckResult
       name: one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available
       uid: fe8e1577-9060-4c59-95b2-3e2c51709adc
     resourceVersion: "84820"
     uid: 5339d21a-24d7-40cb-84d2-7a2ebb015355
   spec:
     apply: true
     current:
       object:
         apiVersion: machineconfiguration.openshift.io/v1
         kind: KubeletConfig
         spec:
           kubeletConfig:
             evictionHard:
               imagefs.available: 10% 

   2

   
     outdated: {}
     type: Configuration
   status:
     applicationState: Applied

   Copy to Clipboard Toggle word wrap

   1

   수정의 검사 이름입니다.

   2

   KubeletConfig 오브젝트에 추가된 수정입니다.

   참고

   수정을 통해 evictionHard kubelet 구성을 호출하는 경우 모든 evictionHard 매개변수: memory.available,nodefs.available,nodefs.inodesFree,imagefs.available, imagefs.inodesFree 를 지정해야 합니다. 모든 매개변수를 지정하지 않으면 지정된 매개변수만 적용되고 수정이 제대로 작동하지 않습니다.

2. 수정을 제거합니다.

   1. 수정 오브젝트에 대해 apply to false로 설정합니다.

      $ oc -n openshift-compliance patch \
      complianceremediations/one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available \
      -p '{"spec":{"apply":false}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. scan-name 을 사용하여 수정 사항이 적용된 KubeletConfig 오브젝트를 찾습니다.

      $ oc -n openshift-compliance get kubeletconfig \
      --selector compliance.openshift.io/scan-name=one-rule-tp-node-master

      Copy to Clipboard Toggle word wrap

      출력 예

      NAME                                 AGE
      compliance-operator-kubelet-master   2m34s

      Copy to Clipboard Toggle word wrap

   3. KubeletConfig 오브젝트에서 수동으로 수정 imagefs.available: 10% 를 제거합니다.

      $ oc edit -n openshift-compliance KubeletConfig compliance-operator-kubelet-master

      Copy to Clipboard Toggle word wrap
      중요

      수정으로 영향을 받는 모든 노드가 재부팅됩니다.

프로세스

1. 파일에서 ConfigMap 오브젝트를 만듭니다.

   $ oc -n openshift-compliance \
   create configmap nist-moderate-modified \
   --from-file=tailoring.xml=/path/to/the/tailoringFile.xml

   Copy to Clipboard Toggle word wrap

2. 모음에 속하는 검사의 맞춤 파일을 참조합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ComplianceSuite
   metadata:
     name: workers-compliancesuite
   spec:
     debug: true
     scans:
       - name: workers-scan
         profile: xccdf_org.ssgproject.content_profile_moderate
         content: ssg-rhcos4-ds.xml
         contentImage: registry.redhat.io/compliance/openshift-compliance-content-rhel8@sha256:45dc...
         debug: true
     tailoringConfigMap:
         name: nist-moderate-modified
     nodeSelector:
       node-role.kubernetes.io/worker: ""

   Copy to Clipboard Toggle word wrap

프로세스

1. 이름이 restricted-adjusted-compliance.yaml 인 YAML 파일에 SCC를 정의합니다.

   SecurityContextConstraints 오브젝트 정의

     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowPrivilegedContainer: false
     allowedCapabilities: null
     apiVersion: security.openshift.io/v1
     defaultAddCapabilities: null
     fsGroup:
       type: MustRunAs
     kind: SecurityContextConstraints
     metadata:
       name: restricted-adjusted-compliance
     priority: 30 

   1

   
     readOnlyRootFilesystem: false
     requiredDropCapabilities:
     - KILL
     - SETUID
     - SETGID
     - MKNOD
     runAsUser:
       type: MustRunAsRange
     seLinuxContext:
       type: MustRunAs
     supplementalGroups:
       type: RunAsAny
     users:
     - system:serviceaccount:openshift-compliance:api-resource-collector 

   2

   
     volumes:
     - configMap
     - downwardAPI
     - emptyDir
     - persistentVolumeClaim
     - projected
     - secret

   Copy to Clipboard Toggle word wrap

   1

   이 SCC의 우선순위는 system:authenticated 그룹에 적용되는 다른 SCC보다 커야 합니다.

   2

   Compliance Operator 스캐너 Pod에서 사용하는 서비스 계정입니다.

2. SCC를 생성합니다.

   $ oc create -n openshift-compliance  -f restricted-adjusted-compliance.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   securitycontextconstraints.security.openshift.io/restricted-adjusted-compliance created

   Copy to Clipboard Toggle word wrap

검증

1. SCC가 생성되었는지 확인합니다.

   $ oc get -n openshift-compliance scc restricted-adjusted-compliance

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                             PRIV    CAPS         SELINUX     RUNASUSER        FSGROUP     SUPGROUP   PRIORITY   READONLYROOTFS   VOLUMES
   restricted-adjusted-compliance   false   <no value>   MustRunAs   MustRunAsRange   MustRunAs   RunAsAny   30         false            ["configMap","downwardAPI","emptyDir","persistentVolumeClaim","projected","secret"]

   Copy to Clipboard Toggle word wrap