OpenShift - Tekton

Bu sayfanın orijinal yazarı Haroun

Tekton nedir

Dokümana göre: Tekton, geliştiricilerin bulut sağlayıcıları ve yerel sistemler arasında uygulamaları oluşturmasına, test etmesine ve dağıtmasına olanak tanıyan güçlü ve esnek bir açık kaynak çerçevesidir. Hem Jenkins hem de Tekton, uygulamaları test etmek, oluşturmak ve dağıtmak için kullanılabilir, ancak Tekton Bulut Yerel'dir.

Tekton ile her şey YAML dosyalarıyla temsil edilir. Geliştiriciler, çalıştırmak istedikleri birden fazla Tasks belirtebilecekleri Pipelines türünde Özel Kaynaklar (CR) oluşturabilirler. Bir Pipeline çalıştırmak için PipelineRun türünde kaynaklar oluşturulmalıdır.

Tekton yüklendiğinde, her ad alanında pipeline adında bir hizmet hesabı (sa) oluşturulur. Bir Pipeline çalıştırıldığında, YAML dosyasında tanımlanan görevleri çalıştırmak için bu sa olan pipeline kullanılarak bir pod oluşturulacaktır.

Getting Started with PipelinesTekton

Pipelines hakkında Tekton Dokümanı

Pipeline hizmet hesabı yetenekleri

Varsayılan olarak, pipeline hizmet hesabı pipelines-scc yeteneğini kullanabilir. Bu, tekton'un küresel varsayılan yapılandırmasından kaynaklanmaktadır. Aslında, tekton'un küresel yapılandırması, kümede bazı okuyucu rolleri varsa görülebilen TektonConfig adlı bir OpenShift nesnesinde de bir YAML'dır.

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
name: config
spec:
...
...
platforms:
openshift:
scc:
default: "pipelines-scc"

Herhangi bir ad alanında, eğer pipeline hizmet hesabı jetonunu alabilirseniz pipelines-scc kullanabileceksiniz.

Yanlış Yapılandırma

Sorun, pipeline sa'nın kullanabileceği varsayılan scc'nin kullanıcı tarafından kontrol edilebilir olmasıdır. Bu, ad alanı tanımında bir etiket kullanılarak yapılabilir. Örneğin, eğer aşağıdaki yaml tanımıyla bir ad alanı oluşturabiliyorsam:

apiVersion: v1
kind: Namespace
metadata:
name: test-namespace
annotations:
operator.tekton.dev/scc: privileged

Tekton operatörü, test-namespace içindeki pipeline hizmet hesabına scc privileged kullanım yetkisi verecektir. Bu, düğümün montajını sağlayacaktır.

Çözüm

Scc'nin geçersiz kılınmasını sınırlamak için TektonConfig nesnesine bir etiket ekleme hakkında Tekton belgeleri.

TektonTekton

Scc hakkında Tekton belgesi

Bu etiket max-allowed olarak adlandırılır.

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
name: config
spec:
...
...
platforms:
openshift:
scc:
default: "restricted-v2"
maxAllowed: "privileged"