Kubernetes serviceAccounts et SELinux

Question

Nous exécutons Kubernetes avec SELinux activé. Nous aimerions utiliser serviceAccounts. Quand je désactive les conteneurs SELinux, je peux lire les secrets, comme prévu. Mais quand j'active SELinux, nous ne pouvons pas lire les secrets à l'intérieur du conteneur. Par exemple:

localhost$ kubectl exec -it my-pod bash 
my-pod$ ls /var/run/secrets/kubernetes.io/serviceaccount/ 
token 
my-pod$ cat /var/run/secrets/kubernetes.io/serviceaccount/token 
Permission denied 

Quelle est la méthode recommandée pour utiliser serviceAccounts avec SELinux?

Merci, Andrej

Answer 1

Vous devez probablement exécuter la commande suivante pour définir le contexte SELinux correctement dans le répertoire des volumes. J'ai un problème ouvert pour que cela se produise automatiquement à l'avenir:

sudo chcon -Rt svirt_sandbox_file_t /var/lib/kubelet 

Hope that helps.

Answer 2

Il y a une règle de politique selinux pour cela (dans Fedora 23 au moins) mais malheureusement il y a une faute de frappe.

semanage fcontext -l | grep /var/lib/kub 
/var/lib/kublet(/.*)?        all files   system_u:object_r:docker_var_lib_t:s0 

Devrait être "kubelet". J'ai ouvert un bug here.