16.3. Pod セキュリティーアドミッションの同期制御

ほとんどの namespace で自動 Pod セキュリティーアドミッションの同期を有効または無効にできます。

重要

クラスターペイロードの一部として定義されている namespace では、Pod セキュリティーアドミッションの同期が完全に無効になっています。これらの namespace には以下が含まれます。

  • default
  • kube-node-lease
  • kube-system
  • kube-public
  • openshift
  • openshift-operators を除く、openshift- で始まるすべてのシステム作成 namespace

デフォルトでは、openshift- 接頭辞を持つすべての namespace は同期されません。ユーザーが作成した任意の openshift-* namespace の同期を有効にすることができます。openshift-operators を除き、システムで作成された openshift-* namespace の同期を有効にすることはできません。

Operator がユーザー作成の openshift-* namespace にインストールされている場合、namespace でクラスターサービスバージョン (CSV) が作成された後、デフォルトで同期がオンになります。同期されたラベルは、namespace のサービスアカウントの権限を継承します。

手順

  • 設定する namespace ごとに、security.openshift.io/scc.podSecurityLabelSync ラベルの値を設定します。

    • namespace で Pod セキュリティーアドミッションラベルの同期を無効にするには、security.openshift.io/scc.podSecurityLabelSync ラベルの値を false に設定します。

      以下のコマンドを実行します。 

      $ oc label namespace <namespace> security.openshift.io/scc.podSecurityLabelSync=false

    • namespace で Pod セキュリティーアドミッションラベルの同期を有効にするには、security.openshift.io/scc.podSecurityLabelSync ラベルの値を true に設定します。

      以下のコマンドを実行します。 

      $ oc label namespace <namespace> security.openshift.io/scc.podSecurityLabelSync=true