Uso de políticas de seguridad de pod con Container Engine for Kubernetes

Para crear una política de seguridad de pod para pods de aplicación, cree un rol para acceder a la política de seguridad de pod y cree un RoleBinding para permitir que los pods de aplicación utilicen la política de seguridad de pod:

1. Cree la política de seguridad de pod para los pods de aplicación:

   1. Defina y guarde la política de seguridad de pod en un archivo. Por ejemplo, en acme-app-psp.yaml.

      Por ejemplo, esta política (tomada de la documentación de Kubernetes) simplemente evita la creación de pods con privilegios:

      
      apiVersion: policy/v1beta1
      kind: PodSecurityPolicy
      metadata:
        name: acme-app-psp
      spec:
        privileged: false  # Don't allow privileged pods!
        # The rest fills in some required fields.
        seLinux:
          rule: RunAsAny
        supplementalGroups:
          rule: RunAsAny
        runAsUser:
          rule: RunAsAny
        fsGroup:
          rule: RunAsAny
        volumes:
        - '*'

   2. Introduzca el siguiente comando para crear la política de seguridad de pod:

      kubectl create -f <filename>.yaml

      Por ejemplo:

      kubectl create -f acme-app-psp.yaml

2. Cree el Role (o ClusterRole) para acceder a la política de seguridad de pod:

   1. Defina y guarde un Role (o un ClusterRole) en un archivo. Por ejemplo, en acme-app-psp-crole.yaml.

      Por ejemplo:

      # Cluster role which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: acme-app-psp-crole
      rules:
      - apiGroups:
        - policy
        resourceNames:
        - acme-app-psp
        resources:
        - podsecuritypolicies
        verbs:
        - use
      

   2. Introduzca el siguiente comando para crear el Role (o ClusterRole):

      kubectl create -f <filename>.yaml

      Por ejemplo:

      kubectl create -f acme-app-psp-crole.yaml

3. Cree el RoleBinding (o ClusterRoleBinding) para autorizar a los pods de aplicación a utilizar la política de seguridad de pod:

   1. Defina y guarde el RoleBinding (o ClusterRoleBinding) en un archivo. Por ejemplo, en acme-app-psp-crole.yaml.

      Por ejemplo:

      
      # Role binding which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: acme-app-psp-binding
        namespace: acme-namespace
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: ClusterRole
        name: acme-app-psp-crole
      subjects:
      # For all service accounts in acme-namespace
      - apiGroup: rbac.authorization.k8s.io
        kind: Group
        name: system:serviceaccounts:acme-namespace

   2. Introduzca el siguiente comando para crear el RoleBinding (o ClusterRoleBinding):

      kubectl create -f <filename>.yaml

      Por ejemplo:

      kubectl create -f acme-app-psp-crole-bind.yaml

Una vez definida una política de seguridad de pod y los pods de aplicación autorizados para utilizarla mediante la creación de un Role y un RoleBinding (o un ClusterRole y un ClusterRoleBinding), active el controlador de admisión PodSecurityPolicy para aplicar la política de seguridad de pod (si no está activada ya).

Para activar el controlador de admisión PodSecurityPolicy al crear nuevos clusters mediante la consola:

1. Inicie sesión en la Consola.

2. Siga las instrucciones para crear un nuevo cluster en Uso de la consola para crear un cluster con una configuración definida explícitamente en el flujo de trabajo "Creación personalizada", haga clic en Mostrar opciones avanzadas y seleccione la opción Políticas de seguridad de pod - Aplicada. Esta opción activa el controlador de admisión PodSecurityPolicy.

   No se aceptará ningún pod de aplicación en el nuevo cluster a menos que existan las políticas de seguridad de pod adecuadas, junto con Roles (o ClusterRoles) y RoleBindings (o ClusterRoleBindings) para asociar los pods a las políticas.

3. Siga las instrucciones para definir los detalles restantes del cluster y haga clic en Crear cluster para crear el nuevo cluster.

4. Siga las instrucciones de Creación de una política de seguridad de pod para pods de aplicación para crear políticas de seguridad de pod para que se aplique el controlador de admisión PodSecurityPolicy al aceptar pods en el nuevo cluster.

Para activar el controlador de admisión PodSecurityPolicy en los clusters existentes mediante la consola:

1. Siga las instrucciones de Creación de una política de seguridad de pod para pods de aplicación para crear políticas de seguridad de pod para que se aplique el controlador de admisión PodSecurityPolicy al aceptar pods en el cluster existente.

   Se recomienda verificar primero las políticas de seguridad del cluster en un entorno de desarrollo o prueba. De esa manera, puede estar seguro de que las políticas de seguridad de pod funcionan como espera y permiten (o rechazan) correctamente que los pods comiencen en el cluster.

2. Abra el menú de navegación y haga clic en Servicios para desarrolladores. En Contenedores y artefactos, haga clic en Clusters de Kubernetes (OKE).
3. Seleccione un compartimento en el que tenga permiso para trabajar.
4. En la página Lista de clusters, haga clic en el nombre del cluster que desea modificar.
5. En el separador Detalles de cluster, haga clic en No forzado junto a Políticas de seguridad de pod.

6. En la ventana Políticas de seguridad de pod, seleccione Aplicadas.

   A partir de ahora, no se aceptará ningún pod de aplicación en el cluster a menos que existan políticas de seguridad de pod adecuadas, junto con Roles (o ClusterRoles) y RoleBindings (o ClusterRoleBindings) para asociar los pods a las políticas. Tenga en cuenta que todos los pods actualmente en ejecución continuarán ejecutándose de todas formas.

7. Haga clic en Guardar cambios.

Para desactivar el controlador de admisión PodSecurityPolicy en clusters donde estaba activado anteriormente:

1. Abra el menú de navegación y haga clic en Servicios para desarrolladores. En Contenedores y artefactos, haga clic en Clusters de Kubernetes (OKE).
2. Seleccione un compartimento en el que tenga permiso para trabajar.
3. En la página Lista de clusters, haga clic en el nombre del cluster que desea modificar.
4. En el separador Detalles de cluster, haga clic en Aplicado junto a Políticas de seguridad de pod.

5. En la ventana Políticas de seguridad de pod, seleccione No aplicadas.

   A partir de ahora, se aceptarán nuevos pods de aplicación en el cluster sin que se necesiten políticas de seguridad de pod, roles (o roles de cluster) y enlaces de roles (o enlaces de roles de cluster). Tenga en cuenta que todos los pods actualmente en ejecución continuarán ejecutándose de todas formas.

6. Haga clic en Guardar cambios.

Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.

Para activar el controlador de admisión PodSecurityPolicy, utilice:

• La operación Crear cluster al crear nuevos clusters
• La operación Actualizar cluster al modificar los clusters existentes

La política de seguridad de pod, y ClusterRole y ClusterRoleBinding asociados, para los pods con privilegios del sistema Kubernetes se crean automáticamente al activar el controlador de admisión PodSecurityPolicy de un cluster. Estos permiten que se ejecute cualquier pod en el espacio de nombre kube-system. Se crean a partir de definiciones en el kube-system.yaml que se muestra a continuación:

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  annotations:
    # See https://kubernetes.io/docs/concepts/policy/pod-security-policy/#seccomp
    seccomp.security.alpha.kubernetes.io/allowedProfileNames: '*'
  name: oke-privileged
spec:
  allowedCapabilities:
  - '*'
  allowPrivilegeEscalation: true
  fsGroup:
    rule: 'RunAsAny'
  hostIPC: true
  hostNetwork: true
  hostPID: true
  hostPorts:
  - min: 0
    max: 65535
  privileged: true
  readOnlyRootFilesystem: false
  runAsUser:
    rule: 'RunAsAny'
  seLinux:
    rule: 'RunAsAny'
  supplementalGroups:
    rule: 'RunAsAny'
  volumes:
  - '*'
  
---
  
# Cluster role which grants access to the privileged pod security policy
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: oke-privileged-psp
rules:
- apiGroups:
  - policy
  resourceNames:
  - oke-privileged
  resources:
  - podsecuritypolicies
  verbs:
  - use
  
---
  
# Role binding for kube-system - allow kube-system service accounts - should take care of CNI i.e. flannel running in the kube-system namespace
# Assumes access to the kube-system is restricted
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kube-system-psp
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: oke-privileged-psp
subjects:
# For all service accounts in the kube-system namespace
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: system:serviceaccounts:kube-system