Konfigurieren des benutzerdefinierten Sicherheitskontexts von Insights

Die Insights-Anwendung verfügt über mehrere Funktionen, die die Chromium Linux SUID Sandbox verwenden. Während der erhöhte Zugriff also nicht für die Installation der Insights-Anwendung selbst erforderlich ist, ist er für bestimmte Funktionsfunktionen unerlässlich.

1. Speichern Sie die Konfigurationsdatei als YAML-Datei und führen Sie den folgenden Befehl aus. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird: oc apply -f <file_name.yaml>.

   allowedCapabilities:
     - SETUID
   apiVersion: security.openshift.io/v1
   fsGroup:
     type: MustRunAs
   groups: []
   kind: SecurityContextConstraints
   metadata:
     name: insights-scc
   readOnlyRootFilesystem: false
   runAsUser:
     type: MustRunAsRange
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   users: []
   volumes:
     - configMap
     - csi
     - downwardAPI
     - emptyDir
     - ephemeral
     - persistentVolumeClaim
     - projected
     - secret

2. Speichern Sie Folgendes in einer Datei mit dem Namen <file_name.yaml> , um eine Rolle für den Zugriff auf die Sicherheitskontexteinschränkung zu erstellen:

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-role
     namespace: <uipath>
   rules:
     - verbs:
         - use
       apiGroups:
         - security.openshift.io
       resources:
         - securitycontextconstraints
       resourceNames:
         - insights-scc

   Erstellen Sie eine Rolle für den Zugriff auf die Sicherheitskontexteinschränkung, indem Sie den folgenden Befehl ausführen: oc apply -f <file_name.yaml>. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird.
3. Speichern Sie Folgendes in einer Datei mit dem Namen <file_name.yaml> , um eine Rollenbindung zu erstellen, mit der die zuvor definierte Rolle an das Insights-Dienstkonto gebunden wird:

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-rolebinding
     namespace: <uipath>
   subjects:
     - kind: ServiceAccount
       name: insightslooker-sa
       namespace: <uipath>
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: insights-scc-role

   Erstellen Sie eine Rollenbindung, um die zuvor definierte Rolle an das Insights-Dienstkonto zu binden, indem Sie den folgenden Befehl ausführen: oc apply -f <file_name.yaml>. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird
4. Navigieren Sie zu Argo CD und deaktivieren Sie die automatische Synchronisierung für Insights.
5. Aktualisieren Sie den Sicherheitskontext für den Insights Looker, der sich im StatefulSet von Insights Looker befindet. Fügen Sie die SETUID -Funktionen hinzu:

   capabilities:
    add:
     - SETUID
    drop:
     - ALL

6. Veröffentlichen von restart statefulset:

   oc -n <uipath> rollout restart statefulset/insights-insightslooker