Konfigurieren des benutzerdefinierten Sicherheitskontexts von Insights

Die Insights-Anwendung verfügt über mehrere Funktionen, die die Chromium Linux SUID Sandbox verwenden. Während der erhöhte Zugriff also nicht für die Installation der Insights-Anwendung selbst erforderlich ist, ist er für bestimmte Funktionsfunktionen unerlässlich.

1. Speichern Sie die Konfigurationsdatei als YAML-Datei und führen Sie den folgenden Befehl aus. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird: oc apply -f <file_name.yaml>.

   allowedCapabilities:
     - SETUID
   apiVersion: security.openshift.io/v1
   fsGroup:
     type: MustRunAs
   groups: []
   kind: SecurityContextConstraints
   metadata:
     name: insights-scc
   readOnlyRootFilesystem: false
   runAsUser:
     type: MustRunAsRange
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   users: []
   volumes:
     - configMap
     - csi
     - downwardAPI
     - emptyDir
     - ephemeral
     - persistentVolumeClaim
     - projected
     - secret
   

2. Speichern Sie Folgendes in einer Datei mit dem Namen <file_name.yaml> , um eine Rolle für den Zugriff auf die Sicherheitskontexteinschränkung zu erstellen:

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-role
     namespace: <uipath>
   rules:
     - verbs:
         - use
       apiGroups:
         - security.openshift.io
       resources:
         - securitycontextconstraints
       resourceNames:
         - insights-scc
   

   Erstellen Sie eine Rolle für den Zugriff auf die Sicherheitskontexteinschränkung, indem Sie den folgenden Befehl ausführen: oc apply -f <file_name.yaml>. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird.

3. Speichern Sie Folgendes in einer Datei mit dem Namen <file_name.yaml> , um eine Rollenbindung zu erstellen, mit der die zuvor definierte Rolle an das Insights-Dienstkonto gebunden wird:

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-rolebinding
     namespace: <uipath>
   subjects:
     - kind: ServiceAccount
       name: insightslooker-sa
       namespace: <uipath>
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: insights-scc-role
   

   Erstellen Sie eine Rollenbindung, um die zuvor definierte Rolle an das Insights-Dienstkonto zu binden, indem Sie den folgenden Befehl ausführen: oc apply -f <file_name.yaml>. Ersetzen Sie den Platzhalter <file_name.yaml> durch den tatsächlichen Namen, der für Ihre YAML-Datei verwendet wird.

4. Navigieren Sie zu ArgoCD und deaktivieren Sie die automatische Synchronisierung für Insights.

5. Aktualisieren Sie den Sicherheitskontext für den Insights Looker, der sich im Insights Looker- StatefulSet befindet. Fügen Sie die SETUID -Funktionen hinzu:

   capabilities:
    add:
     - SETUID
    drop:
     - ALL
   

6. Veröffentlichen von restart statefulset:

   oc -n <uipath> rollout restart statefulset/insights-insightslooker