[desk@cli] $ ssh 작업자1
[worker1@cli] $apparmor_parser -q /etc/apparmor.d/nginx
[worker1@cli] $aa-상태 | grep nginx
nginx-프로필-1
[worker1@cli] $ 로그아웃
[desk@cli] $vim nginx-deploy.yaml
메타데이터 아래에 다음 줄을 추가합니다.
주석: # 이 줄을 추가하세요
컨테이너.apparmor.security.beta.kubernetes.io/<컨테이너 이름>: localhost/nginx-profile-1
[desk@cli] $kubectl apply -f nginx-deploy.yaml
설명
[desk@cli] $ ssh 작업자1
[worker1@cli] $apparmor_parser -q /etc/apparmor.d/nginx
[worker1@cli] $aa-상태 | grep nginx
nginx-프로필-1
[worker1@cli] $ 로그아웃
[desk@cli] $vim nginx-deploy.yaml

[desk@cli] $kubectl apply -f nginx-deploy.yaml pod/nginx-deploy 생성됨 참조: https://kubernetes.io/docs/tutorials/clusters/apparmor/ pod/nginx-deploy 생성됨
[desk@cli] $kubectl apply -f nginx-deploy.yaml pod/nginx-deploy 생성됨 참조: https://kubernetes.io/docs/tutorials/clusters/apparmor/

[desk@cli] $ k create sa backend-qa -n qa sa/backend-qa Created [desk@cli] $ k get role,rolebind -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k create role backend -n qa --resource pods,namespaces,configmaps --verb list # 비밀에 대한 액세스 권한 없음 [desk@cli] $ k create rolebind backend -n qa --role backend --serviceaccount qa:backend-qa [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 종류: 포드 메타데이터:
이름: 프론트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하세요
이미지: nginx
이름: 프론트엔드
[desk@cli] $ k apply -f /home/cert_masters/frontend-pod.yaml 포드 생성됨
[desk@cli] $ k create sa backend-qa -n qa serviceaccount/backend-qa Created [desk@cli] $ k get role,rolebind -n qa qa 네임스페이스에서 리소스를 찾을 수 없습니다. [desk@cli] $ k 역할 백엔드 생성 -n qa --resource pods,namespaces,configmaps --동사 목록 role.rbac.authorization.k8s.io/backend 생성됨 [desk@cli] $ k 역할 바인딩 백엔드 생성 -n qa --role backend --serviceaccount qa:backend-qa rolebbing.rbac.authorization.k8s.io/backend Created [desk@cli] $ vim /home/cert_masters/frontend-pod.yaml apiVersion: v1 종류: 포드 메타데이터:
이름: 프론트엔드
투기:
serviceAccountName: backend-qa # 이것을 추가하세요
이미지: nginx
이름: 프론트엔드
[desk@cli] $ k apply -f /home/cert_masters/frontend-pod.yaml pod/frontend 생성됨 https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

서비스 계정은 Pod에서 실행되는 프로세스에 대한 ID를 제공합니다.
사용자(사람)가 클러스터에 액세스하면(예: kubectl 사용) apiserver에 의해 특정 사용자 계정으로 인증됩니다(현재는 클러스터 관리자가 클러스터를 사용자 정의하지 않는 한 일반적으로 관리자 계정입니다). Pod 내부 컨테이너의 프로세스도 apiserver에 연결할 수 있습니다. 그렇게 하면 특정 서비스 계정(예: 기본값)으로 인증됩니다.
Pod를 생성할 때 서비스 계정을 지정하지 않으면 동일한 네임스페이스의 기본 서비스 계정이 자동으로 할당됩니다. 생성한 Pod에 대한 원시 json 또는 yaml을 가져오면(예: kubectl get pods/<podname> -o yaml) spec.serviceAccountName 필드가 자동으로 설정된 것을 볼 수 있습니다.
클러스터 액세스에 설명된 대로 자동으로 탑재된 서비스 계정 자격 증명을 사용하여 포드 내부에서 API에 액세스할 수 있습니다. 서비스 계정의 API 권한은 사용 중인 승인 플러그인 및 정책에 따라 다릅니다.
버전 1.6 이상에서는 서비스 계정에 automountServiceAccountToken: false를 설정하여 서비스 계정에 대한 API 자격 증명 자동 마운트를 선택 해제할 수 있습니다.
api버전: v1
종류: 서비스 계정
메타데이터:
이름: 빌드 로봇
automountServiceAccountToken: 거짓
...
버전 1.6+에서는 특정 포드에 대한 API 자격 증명 자동 마운트를 선택 해제할 수도 있습니다.
api버전: v1
종류: 포드
메타데이터:
이름: 내 포드
투기:
serviceAccountName: 빌드 로봇
automountServiceAccountToken: 거짓
...
둘 다 automountServiceAccountToken 값을 지정하는 경우 포드 사양이 서비스 계정보다 우선합니다.

확인: Pod를 실행하고 dmesg를 실행하면 다음과 같은 출력이 표시됩니다.

$vim /etc/falco/falco_rules.local.yaml
- 규칙: 컨테이너 드리프트 감지(열기+생성)
desc: open+create로 인해 컨테이너에 생성된 새 실행 파일
조건: >
evt.type (open,openat,creat) 및
evt.is_open_exec=true 및
컨테이너와
runc_writing_exec_fifo가 아니고
runc_writing_var_lib_docker가 아니고
user_known_container_drift_activities가 아니고
evt.rawres>=0
출력: >
%evt.time,%user.uid,%proc.name # 이것을 추가하세요/falco 문서를 참조하세요
우선순위: 오류
$kill -1 <Falco의 PID>
설명
[desk@cli] $ ssh node01 [node01@cli] $ vim /etc/falco/falco_rules.yaml 컨테이너 드리프트 감지를 검색하고 falco_rules.local.yaml에 붙여넣습니다. [node01@cli] $ vim /etc/falco/falco_rules. local.yaml
- 규칙: 컨테이너 드리프트 감지(열기+생성)
desc: open+create로 인해 컨테이너에 생성된 새 실행 파일
조건: >
evt.type (open,openat,creat) 및
evt.is_open_exec=true 및
컨테이너와
runc_writing_exec_fifo가 아니고
runc_writing_var_lib_docker가 아니고
user_known_container_drift_activities가 아니고
evt.rawres>=0
출력: >
%evt.time,%user.uid,%proc.name # 이것을 추가하세요/falco 문서를 참조하세요
우선순위: 오류
[node01@cli] $ vim /etc/falco/falco.yaml