Openshift - SCC
Last updated
Last updated
Die oorspronklike skrywer van hierdie bladsy is Guillaume
In die konteks van OpenShift staan SCC vir Security Context Constraints. Security Context Constraints is beleide wat toestemmings vir pods wat op OpenShift-klusters loop, beheer. Hulle definieer die sekuriteitsparameters waarvolgens 'n pod toegelaat word om te loop, insluitend watter aksies dit kan uitvoer en watter bronne dit kan benader.
SCCs help administrateurs om sekuriteitsbeleide regoor die kluster af te dwing, om te verseker dat pods met toepaslike toestemmings loop en om organisatoriese sekuriteitsstandaarde na te kom. Hierdie beperkings kan verskeie aspekte van pod-sekuriteit spesifiseer, soos:
Linux-vermoëns: Beperking van die vermoëns wat beskikbaar is vir houers, soos die vermoë om bevoorregte aksies uit te voer.
SELinux-konteks: Afdwinging van SELinux-kontekste vir houers, wat bepaal hoe prosesse met bronne op die stelsel interaksie hê.
Lees-slegs-wortel-lêersisteem: Voorkoming van houers om lêers in sekere gids te wysig.
Toegelate gasgids en volumes: Spesifiseer watter gasgids en volumes 'n pod kan koppel.
Hardloop as UID/GID: Spesifiseer die gebruikers- en groep-ID's waarvolgens die houerproses loop.
Netwerkbeleide: Beheer van netwerktoegang vir pods, soos die beperking van uitgaande verkeer.
Deur SCCs te konfigureer, kan administrateurs verseker dat pods met die toepaslike vlak van sekuriteitsisolering en toegangsbeheer loop, wat die risiko van sekuriteitskwessies of ongemagtigde toegang binne die kluster verminder.
Basies, elke keer as 'n pod-implementering aangevra word, word 'n toelatingsproses uitgevoer soos volg:
Hierdie bykomende sekuriteitslaag verbied standaard die skepping van bevoorregte pods, die koppeling van die gaslêersisteem, of die instelling van enige eienskappe wat tot bevoorregte eskalasie kan lei.
Pod Escape PrivilegesOm al die SCC met die Openshift-kliënt te lys:
Alle gebruikers het toegang tot die standaard SCC "restricted" en "restricted-v2" wat die strengste SCCs is.
Die SCC wat vir 'n pod gebruik word, word binne 'n annotasie gedefinieer:
Wanneer 'n gebruiker toegang het tot verskeie SCC's, sal die stelsel die een gebruik wat ooreenstem met die veiligheidskonteks waardes. Andersins sal dit 'n verbode fout veroorsaak.
