11.2. 配置自定义 seccomp 配置集

先决条件

• 有集群管理员权限。
• 您已创建了自定义安全上下文约束 (SCC)。如需更多信息，请参阅附加资源。

流程

• 创建 MachineConfig 对象：

  apiVersion: machineconfiguration.openshift.io/v1
  kind: MachineConfig
  metadata:
    labels:
      machineconfiguration.openshift.io/role: worker
    name: custom-seccomp
  spec:
    config:
      ignition:
        version: 3.2.0
      storage:
        files:
        - contents:
            source: data:text/plain;charset=utf-8;base64,<hash>
          filesystem: root
          mode: 0644
          path: /var/lib/kubelet/seccomp/seccomp-nostat.json

  Copy to Clipboard Toggle word wrap

前提条件

• 有集群管理员权限。
• 您已创建了自定义安全上下文约束 (SCC)。如需更多信息，请参阅"附加资源"。
• 您已创建了自定义 seccomp 配置集。

前提条件

• 集群管理员已设置了自定义 seccomp 配置集。如需了解更多详细信息，请参阅 "设置自定义 seccomp 配置集"。

流程

• 通过设置 securityContext.seccompProfile.type 字段，将 seccomp 配置集应用到工作负载，如下所示：

  示例

  spec:
    securityContext:
      seccompProfile:
        type: Localhost
        localhostProfile: <custom-name>.json 

  1

  Copy to Clipboard Toggle word wrap

  1

  提供自定义 seccomp 配置集的名称。

  另外，您可以使用 pod 注解 seccomp.security.alpha.kubernetes.io/pod: localhost/<custom-name>.json。但是，此方法在 OpenShift Container Platform 4.11 中已弃用。

• 用户角色允许的当前 SCC 的注解。
• Pod 允许包含 seccomp 配置集的 SCC。