27.18.2. SCC、defaults 和 Allowed Ranges

SCC 会影响 pod 是否被授予默认用户 ID、fsGroup ID、补充组 ID 和 SELinux 标签。它们也会影响 Pod 定义（或镜像中）提供的 ID 是否针对一系列允许 ID 进行验证。如果需要验证并失败，pod 也会失败。

SCC 定义策略，如 runAsUser、supplementalGroups 和 fsGroup。这些策略帮助决定 pod 是否被授权。设为 RunAsAny 的策略值实质上表示该 pod 能执行与该策略相关的内容。会为该策略跳过授权，且不会基于此策略生成 OpenShift Container Platform 默认授权。因此，生成的容器中的 ID 和 SELinux 标签基于容器默认值，而不是 OpenShift Container Platform 策略。

有关 RunAsAny 的快速摘要：

因此，应对 ID 相关策略的带有 RunAsAny 的 SCC 进行保护，以便普通开发人员无法访问 SCC。另一方面，SCC 策略设置为 MustRunAs 或 MustRunAsRange 触发器 ID 验证（用于 ID 相关的策略），并在 Pod 定义或镜像中未提供这些值时向容器提供默认值。

SCC 可以定义允许的 ID（用户或组）的范围。如果需要进行范围检查（例如，使用 MustRunAs，且 SCC 中没有定义允许范围），则项目决定 ID 范围。因此，项目支持允许的 ID 范围。但是，与 SCC 不同，项目不定义策略，如 runAsUser。

允许的范围不仅有用，因为它们为容器 ID 定义界限，而且因为该范围内的最小值成为问题 ID 的默认值。例如，如果 SCC ID 策略值是 MustRunAs，则 ID 范围的最小值为 100，并且容器集定义中没有该 ID，则将 100 作为此 ID 的默认值。

作为 pod 准入的一部分，会检查 Pod 可用的 SCC（大约在优先级顺序中，其次序为限制）来最好与 pod 请求匹配。将 SCC 的策略类型设置为 RunAsAny 的限制性较低，而 MustRunAs 类型则更严格的。所有这些策略都被评估。要查看哪些 SCC 分配给 pod，请使用 oc get pod 命令：

# oc get pod <pod_name> -o yaml
...
metadata:
  annotations:
    openshift.io/scc: nfs-scc 1
  name: nfs-pod1 2
  namespace: default 3
...

可能不会直接识别哪些 SCC 与 pod 匹配，因此上述命令对于了解 UID、补充组和 SELinux 在实时容器中重新标记非常有用。

任何策略设置为 RunAsAny 的 SCC 允许在容器集定义（和/或镜像）中定义该策略的特定值。当这应用到用户 ID (runAsUser) 时，需要谨慎来限制对 SCC 的访问，以防止容器以 root 用户身份运行。

由于 Pod 通常与 受限 SCC 匹配，因此值得了解这一要求的安全性。受限 SCC 具有以下特征：

以下显示了 default 项目和自定义 SCC(my-custom-scc)，它总结了 SCC 和项目的交互：

$ oc get project default -o yaml 1
...
metadata:
  annotations: 2
    openshift.io/sa.scc.mcs: s0:c1,c0 3
    openshift.io/sa.scc.supplemental-groups: 1000000000/10000 4
    openshift.io/sa.scc.uid-range: 1000000000/10000 5

$ oc get scc my-custom-scc -o yaml
...
fsGroup:
  type: MustRunAs 6
  ranges:
  - min: 5000
    max: 6000
runAsUser:
  type: MustRunAsRange 7
  uidRangeMin: 1000100000
  uidRangeMax: 1000100999
seLinuxContext: 8
  type: MustRunAs
  SELinuxOptions: 9
    user: <selinux-user-name>
    role: ...
    type: ...
    level: ...
supplementalGroups:
  type: MustRunAs 10
  ranges:
  - min: 5000
    max: 6000

允许的范围支持两种格式：