4.11.3. NFS 卷安全

用来控制 NFS 访问（假设不能在 NFS 导出中修改权限）的建议方法是使用附加组（supplemental group）。OpenShift Container Platform 中的附件组的功能是用于共享存储（NFS 是一个共享存储）。相对块存储（如 iSCSI），使用 fsGroup SCC 策略和在 Pod 的 securityContext 中的fsGroup 值。

因为示例目标 NFS 目录上的组 ID 是 5555，Pod 可以使用 Pod 的 securityContext 定义中的 supplementalGroups 来设置组 ID。例如：

spec:
  containers:
    - name:
    ...
  securityContext: 
    supplementalGroups: [5555] 

spec:
  containers:
    - name:
    ...
  securityContext: 

    supplementalGroups: [5555] 

假设没有可能满足 pod 要求的自定义 SCC，pod 可能与受限 SCC 匹配。这个 SCC 把 supplementalGroups 策略设置为 RunAsAny。这代表提供的任何组群 ID 都被接受，且不进行范围检查。

因此，上面的 pod 可以通过，并被启动。但是，如果需要进行组 ID 范围检查，使用自定义 SCC 就是首选的解决方案。可创建一个定义了最小和最大组群 ID 的自定义 SCC，这样就会强制进行组 ID 范围检查，组 ID 5555 将被允许 。