Last updated
El autor original de esta página es Guillaume
En el contexto de OpenShift, SCC significa Security Context Constraints. Los Security Context Constraints son políticas que controlan los permisos para las pods que se ejecutan en clústeres de OpenShift. Definen los parámetros de seguridad bajo los cuales se permite que una pod se ejecute, incluyendo las acciones que puede realizar y los recursos a los que puede acceder.
Los SCC ayudan a los administradores a hacer cumplir políticas de seguridad en todo el clúster, asegurando que las pods se estén ejecutando con los permisos adecuados y cumpliendo con los estándares de seguridad organizativos. Estas restricciones pueden especificar varios aspectos de la seguridad de las pods, como:
Capacidades de Linux: Limitar las capacidades disponibles para los contenedores, como la capacidad de realizar acciones privilegiadas.
Contexto SELinux: Aplicar contextos SELinux para los contenedores, que definen cómo interactúan los procesos con los recursos en el sistema.
Sistema de archivos raíz de solo lectura: Evitar que los contenedores modifiquen archivos en ciertos directorios.
Directorios y volúmenes de host permitidos: Especificar qué directorios y volúmenes de host puede montar una pod.
Ejecutar como UID/GID: Especificar los IDs de usuario y grupo bajo los cuales se ejecuta el proceso del contenedor.
Políticas de red: Controlar el acceso a la red para las pods, como restringir el tráfico de salida.
Al configurar SCCs, los administradores pueden asegurarse de que las pods se estén ejecutando con el nivel adecuado de aislamiento de seguridad y controles de acceso, reduciendo el riesgo de vulnerabilidades de seguridad o acceso no autorizado dentro del clúster.
Básicamente, cada vez que se solicita un despliegue de pod, se ejecuta un proceso de admisión como se muestra a continuación:
Esta capa de seguridad adicional por defecto prohíbe la creación de pods privilegiadas, el montaje del sistema de archivos del host o el establecimiento de cualquier atributo que pueda llevar a una escalada de privilegios.
Pod Escape PrivilegesPara listar todos los SCC con el Cliente de Openshift:
Todos los usuarios tienen acceso al SCC predeterminado "restricted" y "restricted-v2" que son los SCC más estrictos.
El SCC utilizado por un pod se define dentro de una anotación:
Cuando un usuario tiene acceso a múltiples SCCs, el sistema utilizará aquel que se alinee con los valores de contexto de seguridad. De lo contrario, desencadenará un error de prohibido.
