GKE AppArmor 配置文件不受限制，即使该节点已定义它并且可以正常工作

Question

我正在尝试加载我使用 GKE 和以下一些说明创建的 apparmor 配置文件。

要应用创建的应用装甲配置文件，我遵循了以下说明：

https://cloud.google.com/container-optimized-os/docs/how-to/secure-apparmor#creating_a_custom_security_profile

这只是应用于节点 [s] 的 apparmor 解析器，以及一些后续说明以在节点重新启动期间应用相同的配置文件创建。 基本上是运行以下行：

/sbin/apparmor_parser --replace --write-cache /etc/apparmor.d/no_raw_net

并测试具有此配置文件的容器是否按预期受到保护。

作为第二步，我在 pod 的环境变量中定义了一个带有 apparmor 配置文件名称的环境变量。 如此处所述：

https://cloud.google.com/migrate/anthos/docs/troubleshooting/app-armor-profile

基本上是以这种方式定义吊舱：

spec:
  containers:
  - image: gcr.io/my-project/my-container:v1.0.0
    name: my-container
    env:
    - name: HC_APPARMOR_PROFILE
      value: "apparmor-profile-name"
    securityContext:
      privileged: true

在主机内部，apparmor 配置文件按预期工作。 但我无法提供此配置文件。

还尝试删除在 gke 的文档中定义为 true 的 pod 的安全上下文部分。

最后但并非最不重要的一点是，我尝试使用 k8s pod 注释，这是 k8s 的一项功能，可以将配置文件设置为给定容器，如此处所述：

https://kube.netes.io/docs/tutorials/security/apparmor/

有了这个 pod 看起来像这样：

apiVersion: v1
kind: Pod
metadata:
  name: hello-apparmor-2
  annotations:
    container.apparmor.security.beta.kubernetes.io/hello: localhost/k8s-apparmor-example-allow-write
spec:
  containers:
  - name: hello
    image: busybox
    command: [ "sh", "-c", "echo 'Hello AppArmor!' && sleep 1h" ]

但也没有运气来应用给定的配置文件。

还尝试将用户数据配置应用为节点实例的 cloud-init 的自定义元数据，因此它也可以将我创建的配置文件添加到 app armor，并仔细检查创建问题不是问题，而是版本集群元数据在集群创建后被禁用，并且不允许使用用户数据创建新的集群节点，因为用户数据是为将由谷歌定义的容器优化操作系统用户数据保留的.

无论我做什么，我总是最终要么拥有当前容器的无限制配置文件，要么拥有“cri-containerd.apparmor.d（强制执行）”，这取决于安全上下文是否设置为真......

关于如何向 GKE 中的 pod 提供给定的配置文件，您有什么建议吗？

Answer 1

如果我正确理解了这个问题，似乎您将配置文件的文件名与配置文件名称混合在一起。

annotations:
    container.apparmor.security.beta.kubernetes.io/<container-name>: localhost/<profile-name>

Answer 2

如前所述，我错过了我命名事物的方式，但除此之外，我还想提及另一种选择： https://github.com/kube.netes-sigs/security-profiles-operator ，它与一些 kube 一起工作.netes CRD 允许与 apparmor、seccomp 和 SELinux 集成。

在撰写本文时，AppArmor 等一些实现看起来仍处于 WIP 中，我希望这项计划能够向前推进。