Insights のカスタム セキュリティ コンテキストを設定する

Insights アプリケーションには、Chromium Linux SUID サンドボックスを使用する複数の機能があります。 したがって、管理者特権でのアクセスは、Insights アプリケーション自体のインストールには必須ではありませんが、特定の機能のためには不可欠です。

1. 設定ファイルをYAMLファイルとして保存し、以下のコマンドを実行します。 <file_name.yaml>プレースホルダーは、YAML ファイルで使用されている実際の名前 (oc apply -f <file_name.yaml>) に置き換えてください。

   allowedCapabilities:
     - SETUID
   apiVersion: security.openshift.io/v1
   fsGroup:
     type: MustRunAs
   groups: []
   kind: SecurityContextConstraints
   metadata:
     name: insights-scc
   readOnlyRootFilesystem: false
   runAsUser:
     type: MustRunAsRange
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   users: []
   volumes:
     - configMap
     - csi
     - downwardAPI
     - emptyDir
     - ephemeral
     - persistentVolumeClaim
     - projected
     - secret

2. 以下を <file_name.yaml> という名前のファイルに保存して、セキュリティ コンテキスト制約にアクセスするロールを作成します。

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-role
     namespace: <uipath>
   rules:
     - verbs:
         - use
       apiGroups:
         - security.openshift.io
       resources:
         - securitycontextconstraints
       resourceNames:
         - insights-scc

   次のコマンドを実行して、セキュリティ コンテキスト制約にアクセスするロールを作成します oc apply -f <file_name.yaml>。 <file_name.yaml>プレースホルダーは、必ずYAMLファイルに使用されている実際の名前に置き換えてください。
3. 以下を <file_name.yaml> という名前のファイルに保存して、以前に定義したロールを Insights サービス アカウントにバインドするためのロール バインドを作成します。

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-rolebinding
     namespace: <uipath>
   subjects:
     - kind: ServiceAccount
       name: insightslooker-sa
       namespace: <uipath>
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: insights-scc-role

   次のコマンドを実行して、以前に定義したロールを Insights サービス アカウントにバインドするためのロール バインドを作成します oc apply -f <file_name.yaml>。 <file_name.yaml>プレースホルダーは、必ずYAMLファイルに使用されている実際の名前に置き換えてください
4. ArgoCD に移動し、Insights の 自動同期 を無効化します。
5. Insights Looker ステートフルセット内にある Insights Looker のセキュリティ コンテキストを更新します。SETUID機能を追加します。

   capabilities:
    add:
     - SETUID
    drop:
     - ALL

6. ロールアウト restart statefulset:

   oc -n <uipath> rollout restart statefulset/insights-insightslooker