Ensure that the seccomp profile is set to docker/default in your pod definitions

ThấpCấp 2Xem xét thủ côngopenshift

Mô tả

Enable default seccomp profile in your pod definitions. The benchmark marks this recommendation Manual.

Cách kiểm tra

Phương pháp kiểm tra: Xem xét thủ công

Khuyến nghị này không thể kiểm tra tự động. Lần quét sẽ liệt kê mục này kèm hướng dẫn khi bạn truyền cờ --include-manual.

In OpenShift 4, CRI-O is the supported runtime. CRI-O runs unconfined by default in order to meet CRI conformance criteria. On Red Hat CoreOS, the default seccomp policy is associated with CRI-O and stored in /etc/crio/seccomp.json. The default profile is applied when the user asks for the RuntimeDefault profile via annotation to the pod and when the associated SCC allows use of the specified seccomp profile.

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

For any non-privileged pods or containers that do not have seccomp profiles, consider using the RuntimeDefault or creating a custom seccomp profile specifically for the workload. Please refer to the OpenShift documentation for working with custom seccomp profiles.

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: openshiftpoliciespod-security
Tham chiếu: CIS Red Hat OpenShift Container Platform Benchmark v2.0.0 - 5.7.2 Ensure that the seccomp profile is set to docker/default in your pod definitions