第 31 章 通过策略保护构建

OpenShift Container Platform 中的构建在有权访问 Docker 守护进程套接字的特权容器中运行。作为一种安全措施，建议限制可以运行构建的人员以及用于这些构建的策略。自定义构建 本质上不如 Source 构建安全，因为他们可以在构建中执行任何代码，并有可能对节点的 Docker 套接字具有完全访问权限，因此默认禁用。另外，还应谨慎授予 Docker 构建 权限，因为 Docker 构建逻辑中的漏洞可能会导致在主机节点上授予特权。

默认情况下，所有能够创建构建的用户都被授予相应的权限，可以使用 Docker 和 Source-to-Image 构建策略。具有 cluster-admin 特权的用户可以启用 Custom 构建策略，如 将构建策略限制在本页的 User Globally 部分中所述。

您可以使用 授权策略 控制谁可以使用哪个构建策略进行构建。每个构建策略都有一个对应的构建子资源。用户必须具有创建构建的权限以及创建构建策略子资源的权限，才能使用该策略创建构建。提供的默认角色用于授予构建策略子资源的 create 权限。