15장. seccomp 프로필 구성

프로세스

1. 다음 명령을 실행하여 포드에 설정된 보안 컨텍스트 제약(SCC)과 기본 seccomp 프로필을 확인할 수 있습니다.

   1. 네임스페이스에서 어떤 포드가 실행 중인지 확인하세요.

      $ oc get pods -n <namespace>

      Copy to Clipboard Toggle word wrap

      예를 들어, 워크숍 네임스페이스에서 어떤 포드가 실행 중인지 확인하려면 다음을 실행합니다.

      $ oc get pods -n workshop

      Copy to Clipboard Toggle word wrap

      출력 예

      NAME                READY   STATUS      RESTARTS   AGE
      parksmap-1-4xkwf    1/1     Running     0          2m17s
      parksmap-1-deploy   0/1     Completed   0          2m22s

      Copy to Clipboard Toggle word wrap

   2. 포드를 검사하세요:

      $ oc get pod parksmap-1-4xkwf -n workshop -o yaml

      Copy to Clipboard Toggle word wrap

      출력 예

      apiVersion: v1
      kind: Pod
      metadata:
        annotations:
          k8s.v1.cni.cncf.io/network-status: |-
            [{
                "name": "ovn-kubernetes",
                "interface": "eth0",
                "ips": [
                    "10.131.0.18"
                ],
                "default": true,
                "dns": {}
            }]
          k8s.v1.cni.cncf.io/network-status: |-
            [{
                "name": "ovn-kubernetes",
                "interface": "eth0",
                "ips": [
                    "10.131.0.18"
                ],
                "default": true,
                "dns": {}
            }]
          openshift.io/deployment-config.latest-version: "1"
          openshift.io/deployment-config.name: parksmap
          openshift.io/deployment.name: parksmap-1
          openshift.io/generated-by: OpenShiftWebConsole
          openshift.io/scc: restricted-v2 

      1

      
          seccomp.security.alpha.kubernetes.io/pod: runtime/default 

      2

      Copy to Clipboard Toggle word wrap

      1

      워크로드가 다른 SCC에 액세스할 수 없는 경우 기본적으로 제한된 v2 SCC가 추가됩니다.

      2

      4.19에서 새로 생성된 Pod에는 SCC에서 요구하는 대로 seccomp 프로필이 runtime/default 로 구성됩니다.