1단계: 모든 팟 (Pod) 이 ibm-privileged-psp PSP에서 실행되는지 확인

다음 단계를 완료하여 모든 팟 (Pod) 이 ibm-privileged-psp PSP에서 실행되는지 확인하십시오.

팟 (Pod) 보안 승인과 PodSecurityPolicies 간의 한 가지 차이점은 PodSecurityPolicies 가 변형될 수 있는 동안 팟 (Pod) 보안 승인이 유효성 검증 중이라는 점입니다. 이로 인해 업그레이드하기 전에 팟 (Pod) 이 변형 PSP가 아닌 ibm-privileged-psp 를 사용하는 것이 중요합니다. 팟 (Pod) 보안 승인과 ibm-privileged-psp 모두 유효성 검증 중이므로 팟 (Pod) 은 둘 중 하나에서 동일하게 작동합니다.

예를 들어, 팟 (Pod) 이 현재 ibm-restricted-psp 에서 실행 중인 경우 PSP의 MustRunAs 범위를 기반으로 팟 (Pod) securityContext 섹션에서 fsGroup 및 supplementalGroups 를 1 로 설정할 수 있습니다. ibm-restricted-psp 는 securityContext 파드를 변경할 수 있습니다. 이러한 변경사항은 실행 중인 팟 (Pod) 의 securityContext 와 팟 (Pod) 을 작성하는 유사한 리소스 또는 배치의 팟 (Pod) 템플리트에 있는 securityContext 간의 차이로 표시됩니다. ibm-privileged-psp 는 변형되지 않으므로 여기에서 실행 중인 팟 (Pod) 은 다른 그룹으로 실행될 수 있으며 기존 PVC에 저장된 데이터에 액세스할 수 없습니다.

1. 모든 팟 (Pod) 의 세부사항을 가져오고 해당 PSP를 확인하십시오.

   kubectl get pods -A -o jsonpath="{.items[*].metadata.annotations.kubernetes\.io\/psp}" | tr " " "\n" | sort -u
   

2. ibm-privileged-psp 가 아닌 모든 PSP에 대한 명령 출력을 검토하십시오. 팟 (Pod) 이 다른 PSP를 사용 중인 경우 클러스터를 업그레이드하기 전에 ibm-privileged-psp 를 사용하도록 애플리케이션을 업데이트해야 합니다. 다른 PSP가 나열되지 않으면 업그레이드를 계속할 수 있습니다.

출력에 PSP ibm-privileged-psp 이외의 PSP가 나열된 경우 로 업그레이드하는 1.25 것은 권장되지 않습니다.

2단계: privileged-psp-user 클러스터 역할 바인딩이 기본 구성을 사용하는지 확인

다음 단계를 완료하여 privileged-psp-user 클러스터 역할 바인딩이 기본 구성을 사용하는지 확인하십시오. 그러면 모든 서비스 계정 및 사용자에게 privileged-psp-user 클러스터 역할 바인딩을 통해 ibm-restricted-psp 를 사용할 수 있는 권한이 부여됩니다.

클러스터 역할 바인딩에 다음 예시와 정확히 일치하는 role``subjects 기본값이 없는 경우 업그레이드가 1.25 실패합니다.

1. 세부사항 privileged-psp-user 클러스터 역할 바인딩을 가져오십시오.

   kubectl get clusterrolebinding privileged-psp-user -o yaml
   

2. 출력에서 role 및 subjects 를 검토하십시오. 출력이 다음 예제와 다른 경우 1.25로 업그레이드하지 마십시오. privileged-psp-user 클러스터 역할 바인딩이 다음 예제와 일치하는 경우 업그레이드를 계속할 수 있습니다.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     creationTimestamp: "2022-10-06T20:12:36Z"
     name: privileged-psp-user
     resourceVersion: "151862"
     uid: 15014736-94d2-4cba-a3a8-92dd36de453b
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: ibm-privileged-psp-user
   subjects:
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:masters
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:nodes
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:serviceaccounts
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:authenticated
   

3단계: restricted-psp-user 클러스터 역할 바인딩이 기본 구성을 사용하는지 확인

다음 단계를 완료하여 restricted-psp-user 클러스터 역할 바인딩이 기본 구성을 사용하는지 확인하십시오. 그러면 모든 서비스 계정 및 사용자에게 restricted-psp-user 클러스터 역할 바인딩을 통해 ibm-restricted-psp 를 사용할 수 있는 권한이 부여됩니다.

클러스터 역할 바인딩에 다음 예시와 같이 subjects 기본값인 role 및 이 포함되어 있지 않으면 업그레이드가 1.25 실패합니다.

1. restricted-psp-user 클러스터 역할 바인딩의 세부사항 가져오기

   kubectl get clusterrolebinding restricted-psp-user -o yaml
   

2. 명령 출력을 검토하십시오. 다음 예제에 표시된 대로 클러스터 역할 바인딩에 role 및 subjects 에 대한 기본 설정이 포함되지 않은 경우 클러스터를 버전 1.25 로 업그레이드하지 마십시오.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     creationTimestamp: "2022-10-06T20:13:10Z"
     name: restricted-psp-user
     resourceVersion: "151890"
     uid: 4edb362f-9933-48d7-95e2-f41cd9f4dead
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: ibm-restricted-psp-user
   subjects:
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:masters
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:nodes
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:serviceaccounts
   - apiGroup: rbac.authorization.k8s.io
     kind: Group
     name: system:authenticated
   

4단계: 비IBM PSP 확인

클러스터가 비IBM PSP를 사용하는지 여부를 확인하는 단계를 완료하십시오.

업그레이드 명령어 출력에 다음 예시에서 제시된 것 외의 추가 PSP가 포함된 경우 버전 1.25 업그레이드가 실패합니다. 써드파티 애플리케이션의 추가 PSP가 있을 수 있으며 해당 애플리케이션에 사용할 적절한 업그레이드 전략을 판별하기 위해 애플리케이션에 대한 업데이트가 필요하거나 애플리케이션 벤더와 함께 작업해야 할 수 있습니다.

1. 팟 (Pod) 보안 정책을 나열하십시오.

   kubectl get podsecuritypolicies -o name
   

2. 명령 출력을 검토하십시오.

   Warning: policy/v1beta1 PodSecurityPolicy is deprecated in v1.21+, unavailable in v1.25+
   podsecuritypolicy.policy/ibm-anyuid-hostaccess-psp
   podsecuritypolicy.policy/ibm-anyuid-hostpath-psp
   podsecuritypolicy.policy/ibm-anyuid-psp
   podsecuritypolicy.policy/ibm-privileged-psp
   podsecuritypolicy.policy/ibm-restricted-psp
   

3. IBM PSP를 사용하도록 앱을 업데이트하십시오.

1단계: 1.24 클러스터에서 팟 (Pod) 보안 허가 사용

1.24 클러스터에서 팟 (Pod) 보안 허가를 사용으로 설정하십시오. 이 명령은 새 팟 (Pod) 보안 허가 구성을 사용하도록 클러스터 마스터를 업데이트합니다. 클러스터 마스터가 업데이트되는 데 몇 분 정도 걸릴 수 있습니다.

ibmcloud ks cluster master pod-security set --cluster <CLUSTER>

2단계: 네임스페이스 권한 검토

외부 Kubernetes 문서에서 네임스페이스 권한을 검토하십시오. Kubernetes 권한이 IAM 서비스 역할로 관리되는 경우, 네임스페이스를 만들거나 편집하고 파드 보안 레이블을 설정하려면 매니저 서비스 역할이 필요합니다.

• 네임스페이스 권한 검토

3단계: PSP 간소화 및 표준화

외부 Kubernetes 문서의 단계에 따라 팟 (Pod) 보안 구성을 정리하십시오. ibm-privileged-psp, ibm-anyuid-psp, ibm-anyuid-hostpath-psp, ibm-anyuid-hostaccess-psp 및 ibm-restricted-psp PSP를 수정하거나 삭제하지 마십시오.

• 간소화 및 표준화 PodSecurityPolicies

4단계: 클러스터에서 네임스페이스 업데이트

외부 Kubernetes 문서의 단계에 따라 클러스터의 네임스페이스를 업데이트하십시오. 이러한 단계는 IBM Cloud에서 관리되지 않는 클러스터의 모든 네임스페이스에서 수행되어야 합니다. 이 섹션에 포함된 예외를 참고하십시오.

다음 네임스페이스에 대해 Pod 보안 레이블을 삭제하거나 수정하지 마십시오. 이 네임스페이스는 다음에 의해 관리됩니다 IBM Cloud: kube-system, ibm-system, ibm-operators.

단계 3.d. 이 단계에서 연결된 외부 문서의 정책을 PodSecurity 무시하고, 제안된 특권 PSP를 생성하지 마십시오. 이 추가 PSP를 생성하는 경우, 업그레이드 요구 1.25 사항에 명시된 대로 버전 로 업그레이드하기 전에 반드시 삭제해야 합니다. 대신 kubectl create -n $NAMESPACE rolebinding disable-psp --clusterrole ibm-privileged-psp-user --group system:serviceaccounts:$NAMESPACE 명령을 사용하여 ibm-privileged-psp-user 클러스터 역할에 대한 RoleBinding 를 작성하십시오.

• 네임스페이스 업데이트

5단계: 네임스페이스 작성 프로세스 검토

외부 Kubernetes 문서의 정보를 검토하여 팟 (Pod) 보안 프로파일이 클러스터에서 작성된 새 네임스페이스에 적용되는지 확인하십시오.

• 네임스페이스 작성 프로세스 검토

6단계: 선택사항. 클러스터에서 PSP 기능 사용 안함

1. 클러스터에서 PodSecurityPolicy 허가 제어기를 사용 안함으로 설정하십시오. 이 명령은 새 구성을 사용하도록 클러스터 마스터를 업데이트합니다.

   ibmcloud ks cluster master pod-security policy disable --cluster <cluster>
   

2. 클러스터 마스터 업데이트가 완료될 때까지 몇 분 정도 기다리십시오.
3. PSP및 연관된 Roles, ClusterRoles, RoleBindings 및 ClusterRoleBindings 를 삭제하십시오. 삭제하는 컴포넌트가 다른 곳에서 필요할 수 있는 다른 관련되지 않은 권한을 부여하지 않는지 확인하십시오. 다음 PSP를 삭제하지 마십시오. ibm-privileged-psp, ibm-anyuid-psp, ibm-anyuid-hostpath-psp, ibm-anyuid-hostaccess-psp 및 ibm-restricted-psp. 다음 ClusterRoles 및 ClusterRoleBindings: privileged-psp-user 및 restricted-psp-user 를 삭제하지 마십시오.

클러스터에서 PSP를 다시 1.24 활성화해야 하는 경우 다음 명령을 실행하십시오 ibmcloud ks cluster master pod-security policy enable --cluster <cluster>. 이 명령은 PSP 구성을 사용하도록 클러스터 마스터 를 갱신합니다.

7단계: 선택사항. 클러스터 업그레이드

클러스터를 최소 버전으로 업그레이드하여 1.25 Pod 보안 승인 기능을 사용하십시오. 또는, 업그레이드 준비가 될 때까지 Pod 보안 승인 기능을 활성화한 상태로 클러스터 1.24 버전을 유지하십시오.