CKS関連資料質問25：次のコマンドを使用して、クラスター/構成コンテキストを切り替えることができます。 [desk@cli] $ kubectl config 使用コンテキストステージコンテクスト： PodSecurityPolicy

<<前へ次へ>>

質問 25/40

次のコマンドを使用して、クラスター/構成コンテキストを切り替えることができます。
[desk@cli] $ kubectl config 使用コンテキストステージ
コンテクスト：
PodSecurityPolicy は、特定の名前空間内での特権 Pod の作成を防止します。
タスク：
1. 特権 Pod の作成を防ぐ、deny-policy という名前の新しい PodSecurityPolcy を作成します。
2. 新しく作成された PodSecurityPolicy deny-policy を使用する、deny-access-role という名前の新しい ClusterRole を作成します。
3. 既存の名前空間開発に psd-denial-sa という名前の新しい ServiceAccount を作成します。
最後に、restrict-access-bind という名前の新しい ClusterRoleBindind を作成し、新しく作成した ClusterRole deny-access-role を新しく作成した ServiceAccount psp-denial-sa にバインドします。

正解：

特権コンテナを禁止するpspを作成する
APIバージョン: rbac.authorization.k8s.io/v1
種類: ClusterRole
メタデータ:
名前: アクセス拒否ロール
ルール:
- apiGroups: ['ポリシー']
リソース: ['podsecuritypolicies']
動詞: ['使用する']
リソース名:
- 「拒否ポリシー」
k psp-denial-sa -n開発で作成
APIバージョン: rbac.authorization.k8s.io/v1
種類: ClusterRoleBinding
メタデータ:
名前: アクセス制限 Bing
ロールリファレンス:
種類: ClusterRole
名前: アクセス拒否ロール
apiグループ: rbac.authorization.k8s.io
科目:
- 種類: サービスアカウント
名前: psp-denial-sa
名前空間: 開発
説明
マスター1 $ vim psp.yaml
APIバージョン: ポリシー/v1beta1
種類: PodSecurityPolicy
メタデータ:
名前: 拒否ポリシー
仕様:
privileged: false # 特権ポッドを許可しません。
カーネル:
ルール: RunAsAny
補足グループ:
ルール: RunAsAny
実行ユーザー:
ルール: RunAsAny
グループ:
ルール: RunAsAny
ボリューム:
- '*'
マスター1 $ vim cr1.yaml
APIバージョン: rbac.authorization.k8s.io/v1
種類: ClusterRole
メタデータ:
名前: アクセス拒否ロール
ルール:
- apiGroups: ['ポリシー']
リソース: ['podsecuritypolicies']
動詞: ['使用する']
リソース名:
- 「拒否ポリシー」
マスター1 $ k sa psp-denial-sa -n 開発を作成します
マスター1 $ vim cb1.yaml
APIバージョン: rbac.authorization.k8s.io/v1
種類: ClusterRoleBinding
メタデータ:
名前: アクセス制限 Bing
ロールリファレンス:
種類: ClusterRole
名前: アクセス拒否ロール
apiグループ: rbac.authorization.k8s.io
科目:
# 特定のサービスアカウントを承認します。
- 種類: サービスアカウント
名前: psp-denial-sa
名前空間: 開発
master1 $ k apply -f psp.yaml master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml 参照: https://kubernetes.io/docs/concepts/policy/pod-security-policy/ master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml master1 $ k apply -f psp.yaml master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml 参照: https://kubernetes.io/docs/concepts/policy/pod-security-policy/

質問 25/40

コメントを発表する

Download PDF File