2.11. 전략에 따른 빌드 보안

프로세스

1. rbac.authorization.kubernetes.io/autoupdate 주석을 적용합니다.

   $ oc edit clusterrolebinding system:build-strategy-docker-binding

   출력 예

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     annotations:
       rbac.authorization.kubernetes.io/autoupdate: "false" 1
     creationTimestamp: 2018-08-10T01:24:14Z
     name: system:build-strategy-docker-binding
     resourceVersion: "225"
     selfLink: /apis/rbac.authorization.k8s.io/v1/clusterrolebindings/system%3Abuild-strategy-docker-binding
     uid: 17b1f3d4-9c3c-11e8-be62-0800277d20bf
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: system:build-strategy-docker
   subjects:
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:authenticated

   1

   rbac.authorization.kubernetes.io/autoupdate 주석 값을 "false"로 변경합니다.

2. 역할을 제거합니다.

   $ oc adm policy remove-cluster-role-from-group system:build-strategy-docker system:authenticated

3. 빌드 전략 하위 소스도 이러한 역할에서 제거되었는지 확인합니다.

   $ oc edit clusterrole admin

   $ oc edit clusterrole edit

4. 각 역할에 대해 비활성화할 전략 리소스에 해당하는 하위 리소스를 지정합니다.

   1. admin에 대한 Docker 빌드 전략을 비활성화합니다.

      kind: ClusterRole
      metadata:
        name: admin
      ...
      - apiGroups:
        - ""
        - build.openshift.io
        resources:
        - buildconfigs
        - buildconfigs/webhooks
        - builds/custom 1
        - builds/source
        verbs:
        - create
        - delete
        - deletecollection
        - get
        - list
        - patch
        - update
        - watch
      ...

      1

      빌드/사용자 지정 및 빌드/소스 를 추가하여 admin 역할이 있는 사용자에 대해 Docker 빌드를 전역적으로 비활성화합니다.