13.4. 为 CCS 集群创建安全性上下文约束

流程

1. 在名为 scc-admin.yaml 的 YAML 文件中定义 SCC：

   kind: SecurityContextConstraints
   apiVersion: security.openshift.io/v1
   metadata:
     name: scc-admin
   allowPrivilegedContainer: true
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: RunAsAny
   fsGroup:
     type: RunAsAny
   supplementalGroups:
     type: RunAsAny
   users:
   - my-admin-user
   groups:
   - my-admin-group

   Copy to Clipboard Toggle word wrap

   另外，您可以通过将 requiredDropCapabilities 字段设为所需的值来丢弃 SCC 的特定功能。所有指定的功能都会从容器中丢弃。要丢弃所有的能力，请指定 ALL。例如，要创建一个丢弃 KILL、MKNOD 和 SYS_CHROOT 功能的 SCC，请将以下内容添加到 SCC 对象中：

   requiredDropCapabilities:
   - KILL
   - MKNOD
   - SYS_CHROOT

   Copy to Clipboard Toggle word wrap
   注意

   您不能列出 allowedCapabilities 和 requiredDropCapabilities 中的功能。

   CRI-O 支持 Docker 文档中找到的相同功能值列表。

2. 通过传递文件来创建 SCC：

   $ oc create -f scc-admin.yaml

   Copy to Clipboard Toggle word wrap

   输出示例

   securitycontextconstraints "scc-admin" created

   Copy to Clipboard Toggle word wrap