CKS日本語試験対策質問32：以下のコマンドを使用して、クラスタ/構成コンテキストを切り替えることができます。 [desk@cli] $ kubectl config use-context stage コンテクスト： PodSecurityPolicyは、特定の名前空...

<<前へ次へ>>

質問 32/72

以下のコマンドを使用して、クラスタ/構成コンテキストを切り替えることができます。
[desk@cli] $ kubectl config use-context stage
コンテクスト：
PodSecurityPolicyは、特定の名前空間における特権Podの作成を防止するものとする。
タスク：
1. 特権Podの作成を防止する、deny-policyという名前の新しいPodSecurityPolcyを作成します。
2. 新しく作成したPodSecurityPolicy deny-policyを使用する、deny-access-roleという名前の新しいClusterRoleを作成します。
3. 既存の名前空間 development に psd-denial-sa という名前の新しいサービスアカウントを作成します。
最後に、restrict-access-bind という名前の新しい ClusterRoleBindind を作成し、新しく作成した ClusterRole deny-access-role を、新しく作成した ServiceAccount psp-denial-sa にバインドします。

正解：

特権コンテナを許可しないための PSP を作成します
apiVersion: rbac.authorization.k8s.io/v1
種類: ClusterRole
メタデータ:
名前: アクセス拒否ロール
ルール:
- apiGroups: ['policy']
リソース: ['podsecuritypolicies']
動詞: ['使う']
リソース名:
- 「拒否ポリシー」
k create sa psp-denial-sa -n 開発
apiVersion: rbac.authorization.k8s.io/v1
種類: ClusterRoleBinding
メタデータ:
名前: アクセス制限
役割参照:
種類: ClusterRole
名前: アクセス拒否ロール
apiグループ: rbac.authorization.k8s.io
主題:
- 種類: サービスアカウント
名前: psp-denial-sa
名前空間: 開発
説明
master1 $ vim psp.yaml
APIバージョン: policy/v1beta1
種類: サブセキュリティポリシー
メタデータ:
名前: 拒否ポリシー
仕様:
privileged: false # 特権ポッドを許可しない!
seLinux:
ルール: RunAsAny
補足グループ:
ルール: RunAsAny
runAsUser:
ルール: RunAsAny
fsGroup:
ルール: RunAsAny
ボリューム:
- '*'
master1 $ vim cr1.yaml
apiVersion: rbac.authorization.k8s.io/v1
種類: ClusterRole
メタデータ:
名前: アクセス拒否ロール
ルール:
- apiGroups: ['policy']
リソース: ['podsecuritypolicies']
動詞: ['使う']
リソース名:
- 「拒否ポリシー」
master1 $ k create sa psp-denial-sa -ndevelopment
master1 $ vim cb1.yaml
apiVersion: rbac.authorization.k8s.io/v1
種類: ClusterRoleBinding
メタデータ:
名前: アクセス制限
役割参照:
種類: ClusterRole
名前: アクセス拒否ロール
apiグループ: rbac.authorization.k8s.io
主題:
# 特定のサービスアカウントを承認する:
- 種類: サービスアカウント
名前: psp-denial-sa
名前空間: 開発
master1 $ k apply -f psp.yaml master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml 参照: https://kubernetes.io/docs/concepts/policy/pod-security-policy/ master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml master1 $ k apply -f psp.yaml master1 $ k apply -f cr1.yaml master1 $ k apply -f cb1.yaml 参照: https://kubernetes.io/docs/concepts/policy/pod-security-policy/

質問 32/72

コメントを発表する

Download PDF File