Menu Close

Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

15.8.7. 修改集群默认行为

当您为每个人授予对 anyuid SCC 的访问权限时,您的集群:

  • 不预先分配 UID
  • 允许容器以任意用户身份运行
  • 防止特权容器
 $ oc adm policy add-scc-to-group anyuid system:authenticated

要修改集群,使其不预先分配 UID,且不允许容器以 root 用户身份运行,请为每个人授予 对非 root SCC 的访问权限:

 $ oc adm policy add-scc-to-group nonroot system:authenticated
警告

对于对集群范围有影响的任何修改,请非常小心。当您向所有经过身份验证的用户(如上例中所示)授予 SCC 时,或者修改应用于 受限 SCC 等所有用户的 SCC,它也会影响 Kubernetes 和 OpenShift Container Platform 组件,包括 Web 控制台和集成的容器镜像 registry。使用这些 SCC 进行的更改可能会导致这些组件停止正常运行。

相反,创建自定义 SCC 并将其仅指向特定的用户或组。这样,潜在的问题仅限于受影响的用户或组,不会影响到关键集群组件。