Utilizzo dei criteri di sicurezza pod con Kubernetes Engine (OKE)

Per creare un criterio di sicurezza pod per i pod dell'applicazione, creare un ruolo per accedere al criterio di sicurezza pod e creare un'associazione di ruoli per consentire ai pod dell'applicazione di utilizzare il criterio di sicurezza pod:

1. Creare il criterio di sicurezza pod per i pod applicazione:

   1. Definire e salvare il criterio di sicurezza pod in un file. Ad esempio, in acme-app-psp.yaml).

      Ad esempio, questo criterio (preso dalla documentazione di Kubernetes) impedisce semplicemente la creazione di pod con privilegi:

      
      apiVersion: policy/v1beta1
      kind: PodSecurityPolicy
      metadata:
        name: acme-app-psp
      spec:
        privileged: false  # Don't allow privileged pods!
        # The rest fills in some required fields.
        seLinux:
          rule: RunAsAny
        supplementalGroups:
          rule: RunAsAny
        runAsUser:
          rule: RunAsAny
        fsGroup:
          rule: RunAsAny
        volumes:
        - '*'

   2. Immettere il comando seguente per creare il criterio di sicurezza pod:

      kubectl create -f <filename>.yaml

      Ad esempio:

      kubectl create -f acme-app-psp.yaml

2. Creare il ruolo (o clusterrole) per accedere al criterio di sicurezza pod:

   1. Definire e salvare un ruolo (o clusterrole) in un file. Ad esempio, in acme-app-psp-crole.yaml.

      Ad esempio:

      # Cluster role which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: acme-app-psp-crole
      rules:
      - apiGroups:
        - policy
        resourceNames:
        - acme-app-psp
        resources:
        - podsecuritypolicies
        verbs:
        - use
      

   2. Immettere il comando seguente per creare il ruolo (o clusterrole):

      kubectl create -f <filename>.yaml

      Ad esempio:

      kubectl create -f acme-app-psp-crole.yaml

3. Creare l'associazione dei ruoli (o clusterrolebinding) per autorizzare i pod dell'applicazione a utilizzare il criterio di sicurezza pod:

   1. Definire e salvare l'associazione dei ruoli (o clusterrolebinding) in un file. Ad esempio, in acme-app-psp-crole-bind.yaml.

      Ad esempio:

      
      # Role binding which grants access to the app pod security policy
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: acme-app-psp-binding
        namespace: acme-namespace
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: ClusterRole
        name: acme-app-psp-crole
      subjects:
      # For all service accounts in acme-namespace
      - apiGroup: rbac.authorization.k8s.io
        kind: Group
        name: system:serviceaccounts:acme-namespace

   2. Immettere il comando seguente per creare l'associazione ruoli (o clusterrolebinding):

      kubectl create -f <filename>.yaml

      Ad esempio:

      kubectl create -f acme-app-psp-crole-bind.yaml

Dopo aver definito un criterio di sicurezza pod e aver autorizzato i pod dell'applicazione a utilizzarlo creando un ruolo e un'associazione di ruoli (o un clusterrole e un clusterrolebinding), abilitare il controller di ammissione PodSecurityPolicy del cluster per applicare il criterio di sicurezza pod (se non è già abilitato).

Per abilitare il controller di ammissione PodSecurityPolicy durante la creazione di nuovi cluster mediante la console, effettuare le operazioni riportate di seguito.

1. Eseguire il login a Console.

2. Seguire le istruzioni per creare un nuovo cluster in Uso della console per creare un cluster con impostazioni definite in modo esplicito nel workflow 'Creazione personalizzata', fare clic su Mostra opzioni avanzate e selezionare l'opzione Criteri di sicurezza pod - Applicati. Questa opzione abilita il controller di ammissione PodSecurityPolicy.

   Nessun pod applicazione verrà accettato nel nuovo cluster a meno che non esistano criteri di sicurezza pod appropriati, insieme a ruoli (o clusterroles) e associazioni di ruoli (o clusterrolebindings) per associare i pod ai criteri.

3. Seguire le istruzioni per impostare i dettagli del cluster rimanenti e fare clic su Crea cluster per creare il nuovo cluster.

4. Seguire le istruzioni in Creazione di un criterio di sicurezza pod per i pod applicativi per creare criteri di sicurezza pod per il controller di ammissione PodSecurityPolicy da applicare quando si accettano i pod nel nuovo cluster.

Per abilitare il controller di ammissione PodSecurityPolicy nei cluster esistenti utilizzando la console, effettuare le operazioni riportate di seguito.

1. Seguire le istruzioni in Creazione di un criterio di sicurezza pod per i pod applicativi per creare criteri di sicurezza pod per il controller di ammissione PodSecurityPolicy da applicare quando si accettano i pod nel cluster esistente.

   Si consiglia di verificare prima i criteri di sicurezza pod in un ambiente di sviluppo o di test. In questo modo, puoi essere sicuro che i criteri di sicurezza dei pod funzionino come previsto e consentire correttamente (o rifiutare) l'avvio dei pod sul cluster.

2. Aprire il menu di navigazione e selezionare Developer Services. In Container e artifact, selezionare Cluster Kubernetes (OKE).
3. Scegliere un compartimento in cui si dispone dell'autorizzazione per lavorare.
4. Nella pagina Elenco cluster fare clic sul nome del cluster che si desidera modificare.
5. Nella scheda Dettagli cluster, fare clic su Non applicato accanto a Criteri di sicurezza pod.

6. Nella finestra Criteri di sicurezza pod, selezionare Applicato.

   D'ora in poi, nessun nuovo pod applicazione verrà accettato nel cluster a meno che non esistano criteri di sicurezza pod appropriati, insieme a ruoli (o clusterroles) e associazioni di ruoli (o clusterrolebindings) per associare i pod ai criteri. Si noti che tutti i pod attualmente in esecuzione continueranno a essere eseguiti indipendentemente.

7. Fare clic su Salva modifiche.

Per disabilitare il controller di ammissione PodSecurityPolicy nei cluster in cui era abilitato in precedenza:

1. Aprire il menu di navigazione e selezionare Developer Services. In Container e artifact, selezionare Cluster Kubernetes (OKE).
2. Scegliere un compartimento in cui si dispone dell'autorizzazione per lavorare.
3. Nella pagina Elenco cluster fare clic sul nome del cluster che si desidera modificare.
4. Nella scheda Dettagli cluster fare clic su Applicato accanto a Criteri di sicurezza pod.

5. Nella finestra Criteri di sicurezza pod, selezionare Non applicato.

   D'ora in poi, i nuovi pod dell'applicazione verranno accettati nel cluster senza che siano richiesti criteri di sicurezza dei pod, ruoli (o clusterroles) e associazioni di ruoli (o clusterrolebindings). Si noti che tutti i pod attualmente in esecuzione continueranno a essere eseguiti indipendentemente.

6. Fare clic su Salva modifiche.

Per informazioni sull'uso dell'API e delle richieste di firma, consulta la documentazione dell'API REST e le credenziali di sicurezza. Per informazioni sugli SDK, vedere SDK e l'interfaccia CLI.

Per abilitare il controller di ammissione PodSecurityPolicy, utilizzare:

• Operazione CreateCluster durante la creazione di nuovi cluster
• Operazione Aggiorna cluster durante la modifica dei cluster esistenti

I criteri di sicurezza pod e il clusterrole e il clusterrolebinding associati per i pod con privilegi di sistema Kubernetes vengono creati automaticamente quando si abilita il controller di ammissione PodSecurityPolicy di un cluster. Questi consentono l'esecuzione di qualsiasi pod nello spazio di nomi kube-system. Vengono creati dalle definizioni nel kube-system.yaml mostrato di seguito:

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  annotations:
    # See https://kubernetes.io/docs/concepts/policy/pod-security-policy/#seccomp
    seccomp.security.alpha.kubernetes.io/allowedProfileNames: '*'
  name: oke-privileged
spec:
  allowedCapabilities:
  - '*'
  allowPrivilegeEscalation: true
  fsGroup:
    rule: 'RunAsAny'
  hostIPC: true
  hostNetwork: true
  hostPID: true
  hostPorts:
  - min: 0
    max: 65535
  privileged: true
  readOnlyRootFilesystem: false
  runAsUser:
    rule: 'RunAsAny'
  seLinux:
    rule: 'RunAsAny'
  supplementalGroups:
    rule: 'RunAsAny'
  volumes:
  - '*'
  
---
  
# Cluster role which grants access to the privileged pod security policy
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: oke-privileged-psp
rules:
- apiGroups:
  - policy
  resourceNames:
  - oke-privileged
  resources:
  - podsecuritypolicies
  verbs:
  - use
  
---
  
# Role binding for kube-system - allow kube-system service accounts - should take care of CNI i.e. flannel running in the kube-system namespace
# Assumes access to the kube-system is restricted
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: kube-system-psp
  namespace: kube-system
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: oke-privileged-psp
subjects:
# For all service accounts in the kube-system namespace
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: system:serviceaccounts:kube-system