第 2 章 Pod Security Admission

流程

1. 如果要开始创建 Cryostat 实例，请执行以下步骤：

   1. 在 Red Hat OpenShift web 控制台中，点 Operators > Installed Operators。
   2. 从可用 Operator 列表中，选择 Red Hat build of Cryostat。
   3. 在 Operator 详情页中，点 Details 选项卡。

   4. 在 Provided APIs 部分中，选择 Cryostat，然后单击 Create instance。

      注意

      Red Hat build of Cryostat Operator 不会为 Report sidecar pod 创建服务帐户。相反，这些 pod 在自己的命名空间中使用默认服务帐户。

2. 在 Create Cryostat 面板中，要配置安全上下文，请选择以下选项之一：

   1. 如果要使用 YAML 视图：

      1. 点 YAML 视图 单选按钮。

      2. 在 spec: 元素中，编辑 securityOptions 和 reportOptions 属性，以满足您的安全要求。

         安全上下文配置示例

         apiVersion: operator.cryostat.io/v1beta2
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           securityOptions:
             podSecurityContext:
               runAsNonRoot: true
               seccompProfile:
                 type: RuntimeDefault
             coreSecurityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
               runAsUser: 1001
             dataSourceSecurityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
             grafanaSecurityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
           reportOptions:
             replicas: 1
             podSecurityContext:
               runAsNonRoot: true
               seccompProfile:
                 type: RuntimeDefault
             reportsSecurityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
               runAsUser: 1001

         Copy to Clipboard Toggle word wrap

   2. 如果要使用 Form 视图：

      1. 点 *Form view" 单选按钮。

      2. 展开 Advanced configuration 以在 Red Hat OpenShift Web 控制台中打开附加选项。

         图 2.1. 高级配置菜单选项

         

         View larger image

         
      3. 展开 Core Security Context。从可用选项列表中，定义安全上下文的设置。

      4. 逐一扩展以下安全上下文，并根据情况定义设置：

         • 身份验证代理安全上下文
         • 数据源安全上下文
         • 数据库安全上下文
         • Grafana 安全上下文
         • Pod 安全上下文
         • 存储安全上下文

      5. 可选： 如果您使用 Report Generator 服务，您也可以为此服务配置安全上下文。在这种情况下，展开 Report Options > Advanced Configuration > Security Options。然后，根据情况扩展和定义 报告安全上下文 和 Pod 安全上下文设置。

         图 2.2. 报告生成器安全上下文

         

         View larger image

         
3. 如果要为这个 Cryostat 实例配置自定义资源(CR)中的其他属性，请参阅本文档的其它部分来了解有关这些属性的更多信息。
4. 如果要完成创建此 Cryostat 实例，请点击 Create。