Configuration du contexte de sécurité personnalisé d'Insights

Configurez le contexte de sécurité personnalisé pour Insights afin d'activer les fonctionnalités Chromium SUID Sandbox sur OpenShift.

L'application Insights possède plusieurs fonctionnalités qui utilisent la Sandbox Chromium Linux SUID. Ainsi, bien que l'accès élevé ne soit pas requis pour l'installation de l'application Insights elle-même, il est essentiel pour la fonctionnalité de fonctionnalité spécifique.

1. Enregistrez le fichier de configuration en tant que fichier YAML et exécutez la commande suivante. Assurez-vous de remplacer l'espace réservé <file_name.yaml> par le nom réel utilisé pour votre fichier YAML : oc apply -f <file_name.yaml>.

   allowedCapabilities:
     - SETUID
   apiVersion: security.openshift.io/v1
   fsGroup:
     type: MustRunAs
   groups: []
   kind: SecurityContextConstraints
   metadata:
     name: insights-scc
   readOnlyRootFilesystem: false
   runAsUser:
     type: MustRunAsRange
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   users: []
   volumes:
     - configMap
     - csi
     - downwardAPI
     - emptyDir
     - ephemeral
     - persistentVolumeClaim
     - projected
     - secret
   

2. Enregistrez les éléments suivants dans un fichier nommé <file_name.yaml> pour créer un rôle permettant d'accéder à la contrainte de contexte de sécurité :

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-role
     namespace: <uipath>
   rules:
     - verbs:
         - use
       apiGroups:
         - security.openshift.io
       resources:
         - securitycontextconstraints
       resourceNames:
         - insights-scc
   

   Créez un rôle pour accéder à la Contrainte de contexte de sécurité (Security Context Constraint) en exécutant la commande suivante : oc apply -f <file_name.yaml>. Assurez-vous de remplacer l'espace réservé <file_name.yaml> par le nom réel utilisé pour votre fichier YAML.

3. Enregistrez les éléments suivants dans un fichier nommé <file_name.yaml> afin de créer une liaison de rôle afin de lier le rôle précédemment défini au compte de service Insights :

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-rolebinding
     namespace: <uipath>
   subjects:
     - kind: ServiceAccount
       name: insightslooker-sa
       namespace: <uipath>
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: insights-scc-role
   

   Créez une liaison de rôle pour lier le rôle précédemment défini au compte de service Insights en exécutant la commande suivante : oc apply -f <file_name.yaml>. Assurez-vous de remplacer l'espace réservé <file_name.yaml> par le nom réel utilisé pour votre fichier YAML.

4. Accédez à ArgoCD et désactivez la synchronisation automatique pour Insights.

5. Mettez à jour le contexte de sécurité pour Insights Looker, situé dans l’ensemble d’états Insights Looker . Ajoutez les capacités SETUID :

   capabilities:
    add:
     - SETUID
    drop:
     - ALL
   

6. Déploiement restart statefulset:

   oc -n <uipath> rollout restart statefulset/insights-insightslooker