Configurando o contexto de segurança personalizado do Insights

Configure o contexto de segurança personalizado do Insights para habilitar as funcionalidades do Chromium SUID Sandbox no OpenShift.

O aplicativo Insights tem vários recursos que usam o Chromium Linux SUID Sandbox. Assim, embora o acesso elevado não seja necessário para a instalação do aplicativo Insights em si, ele é essencial para a funcionalidade de um recurso específico.

1. Salve o arquivo de configuração como um arquivo YAML e execute o seguinte comando. Certifique-se de substituir o placeholder <file_name.yaml> pelo nome real usado para seu arquivo YAML: oc apply -f <file_name.yaml>.

   allowedCapabilities:
     - SETUID
   apiVersion: security.openshift.io/v1
   fsGroup:
     type: MustRunAs
   groups: []
   kind: SecurityContextConstraints
   metadata:
     name: insights-scc
   readOnlyRootFilesystem: false
   runAsUser:
     type: MustRunAsRange
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   users: []
   volumes:
     - configMap
     - csi
     - downwardAPI
     - emptyDir
     - ephemeral
     - persistentVolumeClaim
     - projected
     - secret
   

2. Salve o seguinte em um arquivo chamado <file_name.yaml> para criar uma função para acessar a Restrição de contexto de segurança:

   kind: Role
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-role
     namespace: <uipath>
   rules:
     - verbs:
         - use
       apiGroups:
         - security.openshift.io
       resources:
         - securitycontextconstraints
       resourceNames:
         - insights-scc
   

   Crie uma função para acessar a Restrição de Contexto de Segurança executando o seguinte comando: oc apply -f <file_name.yaml>. Certifique-se de substituir o placeholder <file_name.yaml> pelo nome real usado para seu arquivo YAML.

3. Salve o seguinte em um arquivo chamado <file_name.yaml> para criar uma associação de função para vincular a função definida anteriormente à conta de serviço do Insights:

   kind: RoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: insights-scc-rolebinding
     namespace: <uipath>
   subjects:
     - kind: ServiceAccount
       name: insightslooker-sa
       namespace: <uipath>
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: insights-scc-role
   

   Crie uma associação de função para vincular a função definida anteriormente à conta de serviço do Insights executando o seguinte comando: oc apply -f <file_name.yaml>. Certifique-se de substituir o espaço reservado <file_name.yaml> pelo nome real usado para seu arquivo YAML.

4. Navegue até ArgoCD e desabilite a Sincronização automática para o Insights.

5. Atualize o contexto de segurança para o Looker do Insights, localizado dentro do statefulset do Looker do Insights . Adicione os recursos SETUID :

   capabilities:
    add:
     - SETUID
    drop:
     - ALL
   

6. Implantação restart statefulset:

   oc -n <uipath> rollout restart statefulset/insights-insightslooker