7.7. 管理 SELinux 配置集

流程

1. 要将使用 quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 镜像的 pod 绑定到示例 SelinuxProfile 配置集，请在与 pod 和 SelinuxProfile 对象相同的命名空间中创建一个 ProfileBinding 对象：

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileBinding
   metadata:
     namespace: my-namespace
     name: nginx-binding
   spec:
     profileRef:
       kind: SelinuxProfile 1
       name: profile 2
     image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21 3

   1

   kind: 变量引用配置集的类型。

   2

   name: 变量引用配置集的名称。

   3

   您可以通过在镜像属性 image: "*"中使用通配符来启用默认安全配置集

   重要

   使用 image: "*" 通配符属性，将所有新 pod 与给定命名空间中的默认安全配置集绑定。

2. 运行以下命令，使用 enable-binding=true 标记命名空间：

   $ oc label ns my-namespace spo.x-k8s.io/enable-binding=true

3. 定义名为 test-pod.yaml 的 pod：

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21

4. 创建 pod：

   $ oc create -f test-pod.yaml

   注意

   如果 pod 已存在，您必须重新创建 pod 才能使绑定正常工作。

流程

1. 运行以下命令来创建项目：

   $ oc new-project nginx-secure

2. 创建以下 RoleBinding 对象，以允许在 nginx-secure 命名空间中使用 SELinux 策略：

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: spo-nginx
     namespace: nginx-secure
   subjects:
   - kind: ServiceAccount
     name: spo-deploy-test
   roleRef:
     kind: Role
     name: spo-nginx
     apiGroup: rbac.authorization.k8s.io

3. 创建 Role 对象：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     creationTimestamp: null
     name: spo-nginx
     namespace: nginx-secure
   rules:
   - apiGroups:
     - security.openshift.io
     resources:
     - securitycontextconstraints
     resourceNames:
     - privileged
     verbs:
     - use

4. 创建 ServiceAccount 对象：

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     creationTimestamp: null
     name: spo-deploy-test
     namespace: nginx-secure

5. 创建 Deployment 对象：

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: selinux-test
     namespace: nginx-secure
     metadata:
       labels:
         app: selinux-test
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: selinux-test
     template:
       metadata:
         labels:
           app: selinux-test
       spec:
         serviceAccountName: spo-deploy-test
         securityContext:
           seLinuxOptions:
             type: nginx-secure_nginx-secure.process 1
         containers:
         - name: nginx-unpriv
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

   1

   在创建 Deployment 前，必须存在 .seLinuxOptions.type。

   注意

   SELinux 类型没有在工作负载中指定，并由 SCC 处理。当 Pod 由部署和 ReplicaSet 创建时，pod 将以适当的配置集运行。

流程

1. 编辑 ProfileRecording 对象使其包含 mergeStrategy: containers 变量：

   apiVersion: security-profiles-operator.x-k8s.io/v1alpha1
   kind: ProfileRecording
   metadata:
     # The name of the Recording is the same as the resulting SelinuxProfile CRD
     # after reconciliation.
     name: test-recording
     namespace: my-namespace
   spec:
     kind: SelinuxProfile
     recorder: logs
     mergeStrategy: containers
     podSelector:
       matchLabels:
         app: sp-record

2. 运行以下命令标记命名空间：

   $ oc label ns my-namespace security.openshift.io/scc.podSecurityLabelSync=false pod-security.kubernetes.io/enforce=privileged pod-security.kubernetes.io/audit=privileged pod-security.kubernetes.io/warn=privileged --overwrite=true

3. 使用以下 YAML 创建工作负载：

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx-deploy
     namespace: my-namespace
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: sp-record
     template:
       metadata:
         labels:
           app: sp-record
       spec:
         serviceAccountName: spo-record-sa
         containers:
         - name: nginx-record
           image: quay.io/security-profiles-operator/test-nginx-unprivileged:1.21
           ports:
           - containerPort: 8080

4. 要记录单个配置集，请运行以下命令删除部署：

   $ oc delete deployment nginx-deploy -n my-namespace

5. 要合并配置集，请运行以下命令删除配置集记录：

   $ oc delete profilerecording test-recording -n my-namespace

6. 要启动合并操作并生成结果配置集，请运行以下命令：

   $ oc get selinuxprofiles -lspo.x-k8s.io/recording-id=test-recording -n my-namespace

   selinuxprofiles 的输出示例

   NAME                          USAGE                                              STATE
   test-recording-nginx-record   test-recording-nginx-record_my-namespace.process   Installed

7. 要查看任何容器使用的权限，请运行以下命令：

   $ oc get selinuxprofiles test-recording-nginx-record -o yaml