7.7.2.3. 컨트롤러 및 SecurityContextConstraints 복제

프로세스

1. 다음 명령을 실행하여 프로젝트를 생성합니다.

   $ oc new-project nginx-secure

2. 다음 RoleBinding 오브젝트를 생성하여 nginx-secure 네임스페이스에서 SELinux 정책을 사용할 수 있습니다.

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: spo-nginx
     namespace: nginx-secure
   subjects:
   - kind: ServiceAccount
     name: spo-deploy-test
   roleRef:
     kind: Role
     name: spo-nginx
     apiGroup: rbac.authorization.k8s.io

3. Role 오브젝트를 생성합니다.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     creationTimestamp: null
     name: spo-nginx
     namespace: nginx-secure
   rules:
   - apiGroups:
     - security.openshift.io
     resources:
     - securitycontextconstraints
     resourceNames:
     - privileged
     verbs:
     - use

4. ServiceAccount 오브젝트를 생성합니다.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     creationTimestamp: null
     name: spo-deploy-test
     namespace: nginx-secure

5. Deployment 오브젝트를 생성합니다.

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: selinux-test
     namespace: nginx-secure
     metadata:
       labels:
         app: selinux-test
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: selinux-test
     template:
       metadata:
         labels:
           app: selinux-test
       spec:
         serviceAccountName: spo-deploy-test
         securityContext:
           seLinuxOptions:
             type: nginx-secure.process 

   1

   
         containers:
         - name: nginx-unpriv
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

   1

   배포가 생성되기 전에 .seLinuxOptions.type 이 있어야 합니다.

   참고

   SELinux 유형은 워크로드에 지정되지 않으며 SCC에서 처리합니다. 배포 및 ReplicaSet 을 통해 Pod를 생성하면 Pod가 적절한 프로필과 함께 실행됩니다.