CKA 실습 - Security

ServiceAccount

service account 생성하기

 

deployment 수정하여 serviceaccount 반영하기

dashboard-sa 서비스 계정을 deployment에 추가하여 해당 ServiceAccount가 deployment에 적용되도록 한다.

 

먼저 수정을 위해 yaml 파일을 생성한다.

vi 편집기를 열어 내부를 수정한다. 이 때 주의할 점은 deployment 가 생성할 파드에 지정을 하는 것이기 때문에 파드 쪽에 항목을 추가해야 한다.

항목 추가 후 apply 로 적용한다.

 

 

Security Context

SecurityContext 는 파드의 보안 설정을 담당하는 부분이다.

 

파드의 설정에 ScurityContext 설정을 추가해본다. 조건은 다음과같다.

ubuntu-sleeper 파드의 내용을 아래와 같이 수정한다.

기존에는 없던 securityContext 필드를 추가하고, user ID 1010을 추가해야 하므로 runAsUser 1010 설정을 추가한다.

삭제 후 재생성하기

 

SecurityContext 에서는 capability를 지정할 수 있다. 예시에서는 SYS_TIME 을 추가해본다. (파드가 루트 계정에서 날짜를 수정할 수 있도록 함)

파드의 yaml 파일에서 위 필드를 추가

 

Network Policy

network policy 는 두 개의 명령어로 조회할 수 있다.

describe 명령어로 네트워크 정책을 확인해볼 수 있다.

describe 를 통해 정책을 확인하면, 어떤 접근제어 정책이 적용되어 있는지 확인 가능하다. 위의 예시에서는 ingress는 8080 / TCP 만 허용, Egress는 모두 허용인 것으로 보인다.

 

network policy 를 직접 생성해본다. 다음과 같은 조건으로 생성한다.

 

필드는 kubernetes 공식 문서를 참고하고, 조건을 맞추어 yaml 파일을 작성한 뒤 kubectl 을 이용해 개체를 생성한다.