第8章 セキュリティーポリシー

OpenShift Virtualization のセキュリティーと認可について説明します。

主なポイント

  • OpenShift Virtualization は、Pod セキュリティーの現在のベストプラクティスを強制することを目的とした、 restricted Kubernetes pod security standards プロファイルに準拠しています。
  • 仮想マシン (VM) のワークロードは、特権のない Pod として実行されます。
  • セキュリティーコンテキスト制約 (SCC) は、kubevirt-controller サービスアカウントに対して定義されます。

8.1. ワークロードのセキュリティーについて

デフォルトでは、OpenShift Virtualization の仮想マシン (VM) ワークロードは root 権限では実行されず、root 権限を必要とするサポート対象の OpenShift Virtualization 機能はありません。

仮想マシンごとに、virt-launcher Pod が libvirt のインスタンスを セッションモード で実行し、仮想マシンプロセスを管理します。セッションモードでは、libvirt デーモンは root 以外のユーザーアカウントとして実行され、同じユーザー識別子 (UID) で実行されているクライアントからの接続のみを許可します。したがって、仮想マシンは権限のない Pod として実行し、最小権限のセキュリティー原則に従います。