5.4. 创建自定义策略

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration Policies。
2. 点击 Create policy。

3. 在 Policy details 部分输入策略的详情：

   • 为策略输入一个 Name。

   • 可选：从 Attach notifiers 部分的 available Notifiers 部分中选择将通知附加到策略。

     注意

     在转发警报前，您必须将 Red Hat Advanced Cluster Security for Kubernetes 与通知提供程序集成，如 Webhook、JIRA、Pageruty、Splunk 或其他。

   • 为这个策略选择一个 严重级别，可以是 Critical、High、Medium 或 Low。
   • 选择您要 应用到 此策略的策略类别。
   • 在 Description 框中输入策略详情。
   • 输入有关在 Rationale 框中存在策略的原因。
   • 在 Guidance 框中输入解决此策略的违反情况的步骤。

   • 可选：在 MITRE ATT&CK 部分，选择您要为策略指定的技巧和您要指定的 技术。

     1. 单击 Add tactic，然后从下拉列表中选择 tactic。
     2. 单击 Add 技术 来为所选的 Tactic 添加技术。您可以为 tactic 指定多个技巧。
4. 点击 Next。

5. 在 Policy 行为 部分中，为策略选择 Lifecycle 阶段 和 事件源（仅限运行时生命周期 ）。

   • 从 Build、Deploy 或 Runtime 中选择适合您的策略的 Lifecycle Stage。您可以选择多个阶段。

     • 构建时策略适用于镜像字段，如 CVE 和 Dockerfile 指令。
     • deploy-time 策略可以包括所有构建时策略标准，但还可包含集群配置中的数据，如以特权模式运行或挂载 Docker 套接字。
     • 运行时策略可以包括所有构建时和部署时策略标准，但也可在运行时包括有关进程执行的数据。

6. 对于 Response 方法，请选择：

   1. 用于在 违反列表中包括违反情况。

   2. 或选择 Inform and enforce 强制执行操作。

      • 选择策略的强制行为。它仅适用于您在配置 Lifecycle Stages 时选择的各个阶段。选择 ON （启用）来强制执行策略并报告冲突，OFF （禁用）仅报告违反情况。各个生命周期阶段的行为都不同。

        • Build - 当镜像与策略条件匹配时，Red Hat Advanced Cluster Security for Kubernetes Kubernetes 的持续集成(CI)构建会失败。
        • Deployment - Red Hat Advanced Cluster Security for Kubernetes 块创建与策略条件匹配的部署。在进行准入控制器的集群中，Kubernetes 或 OpenShift Container Platform API 服务器会阻断所有不合规的部署。在其他集群中，Red Hat Advanced Cluster Security for Kubernetes 编辑不合规的部署，以防止调度 pod。

        • Runtime - Red Hat Advanced Cluster Security for Kubernetes 会终止所有与策略条件匹配的 pod，或阻止对 pod 执行的操作。

          警告

          策略实施可能会影响正在运行的应用程序或开发过程。在启用强制选项前，请告知所有相关人员并计划如何响应自动化执行操作。

7. 点击 Next。
8. 在 Policy Criteria 部分中，配置您要为其触发策略的属性。
9. 点击 Next。

10. 在 Policy scope 部分中，配置以下内容：

    • 点 Add included Scope 来使用 Restrict to Scope，以便仅对特定集群、命名空间或标签启用此策略。您可以添加多个范围，并在 RE2 语法中为命名空间 和标签使用正则表达式。
    • 点 Add exclusion 范围 使用 Scope 排除部署、集群、命名空间和标签，这意味着策略不会应用到您选择的实体。您可以添加多个范围，并在 RE2 语法中为命名空间 和标签使用正则表达式。但是，您不能使用正则表达式来选择部署。

    • 对于 排除的镜像（仅Build Lifecycle），请选择您不想触发违反情况的所有镜像。

      注意

      排除的镜像 设置只在您通过 Build 生命周期阶段连续集成系统中检查镜像时应用。如果您使用此策略检查 Deploy 生命周期阶段或运行时活动中的部署，则不会生效。

11. 点击 Next。
12. 在 Review policy 部分，预览策略违反情况。
13. 点击 Save。