<<前へ 次へ>>

質問 11/26

クラスターワーカーノードで、準備されたAppArmorプロファイルを適用します
#include <tunables / global>
プロファイルdocker-nginxフラグ=(attach_disconnected、mediate_deleted){
#include <abstractions / base>
ネットワークinettcp、
ネットワークinetudp、
ネットワークineticmp、
生のネットワークを拒否し、
ネットワークパケットを拒否し、
ファイル、
umount、
/ bin / ** wlを拒否します、
/ boot / ** wlを拒否します、
/ dev / ** wlを拒否します、
/ etc / ** wlを拒否します、
/ home / ** wlを拒否します、
/ lib / ** wlを拒否します、
/ lib64 / ** wlを拒否します、
/ media / ** wlを拒否します、
/ mnt / ** wlを拒否します、
/ opt / ** wlを拒否し、
/ proc / ** wlを拒否します、
/ root / ** wlを拒否し、
/ sbin / ** wlを拒否し、
/ srv / ** wlを拒否します、
/ tmp / ** wlを拒否します、
/ sys / ** wlを拒否します、
/ usr / ** wlを拒否します、
監査/ ** w、
/var/run/nginx.pid w、
/ usr / sbin / nginx ix、
/ bin / dash mrwklxを拒否します、
/ bin / sh mrwklxを拒否します、
/ usr / bin / top mrwklxを拒否し、
機能chown、
機能dac_override、
機能setuid、
機能setgid、
機能net_bind_service、
deny @ {PROC} / * w、#/ procに直接(サブディレクトリではなく)すべてのファイルの書き込みを拒否
#/ proc / <number> / **または/ proc / sys / **にないファイルへの書き込みを拒否します
@ {PROC} / {[^ 1-9]、[^ 1-9] [^ 0-9]、[^ 1-9s] [^ 0-9y] [^ 0-9s]、[^ 1-を拒否します9] [^ 0-9] [^ 0-9] [^ 0-9] *} / ** w、@ {PROC} / sys / [^ k] ** wを拒否、#/ proc / sysを拒否/ proc / sys / k *(事実上/ proc / sys / kernel)は@ {PROC} / sys / kernel / {?、??、[^ s] [^ h] [^ m] **} w、#を拒否します/ proc / sys / kernel /のshm *以外のすべてを拒否する、マウントを拒否、/ sys / [^ f] * / ** wklxを拒否、/ sys / f [^ s] * / ** wklxを拒否、/ sys / fs / [^ c] * / ** wklxを拒否、拒否/ sys / fs / c [^ g] * / ** wklx、deny / sys / fs / cg [^ r] * / ** wklx、deny / sys / firmware / ** rwklx、deny / sys / kernel / security / ** rwklx、
}
準備したマニフェストファイルを編集して、AppArmorプロファイルを含めます。
apiVersion:v1
種類:ポッド
メタデータ:
名前:apparmor-pod
仕様:
コンテナ:
-名前:apparmor-pod
画像:nginx
最後に、マニフェストファイルを適用し、指定されたポッドを作成します。
確認:コマンドping、top、shを使用してみてください

コメントを発表する

あなたのメールアドレスは公開されません。必要な部分に * が付きます。

質問一覧「26問」
質問1 etcdに格納されているシークレットは、保存時に安全ではありませ...
質問2 既存の名前空間デフォルトにbackend-saという名前の新しいServic...
質問3 環境: クラスター:gvisor マスターノード:master1 ワーカーノ...
質問4 シミュレーション 名前空間test-systemで実行されているtest-web...
質問5 変更を加える前に、タグbase:v1を使用してDockerfileをビルドし...
質問6 名前空間テスト内にポッド名Nginx-podを作成し、選択した入力を...
質問7 構成を介してすべての問題を修正し、影響を受けるコンポーネント
質問8 シミュレーション runcという名前の準備されたランタイムハンド...
質問9 runcという名前の準備されたランタイムハンドラーを使用して、un...
質問10 シミュレーション クラスターワーカーノードで、準備されたAppAr...
質問11 クラスターワーカーノードで、準備されたAppArmorプロファイルを...
質問12 シミュレーション ランタイム検出ツールFalcoを使用して、Nginx...
質問13 名前空間テストシステムで実行されているnginx-podという名前の...
質問14 シミュレーション Trivyを使用して、次の画像をスキャンします。...
質問15 シミュレーション allow-npという名前のネットワークポリシーを...
質問16 シミュレーション 構成を介してすべての問題を修正し、影響を受
質問17 次のコマンドを使用して、クラスター/構成コンテキストを切り替
質問18 シミュレーション 指定されたDockerfileを分析および編集します ...
質問19 このタスクは、次のクラスター/ノードで完了する必要があります
質問20 次のコマンドを使用して、クラスター/構成コンテキストを切り替
質問21 シミュレーション 名前空間テストでdeny-allという名前の新しいN...
質問22 名前空間テストで実行されているポッドnginx-testに制限するには...
質問23 johnという名前のユーザーを作成し、CSR要求を作成し、承認後に...
質問24 ランタイム検出ツールFalcoを使用して、新しく生成および実行さ...
質問25 クラスタで監査ログを有効にします。これを行うには、ログバック
質問26 次のクラスター/ノードでこのタスクを完了する必要があります。 ...