selinux 在 selinux-enable=true 的容器下不能工作答案

【问题标题】：selinux not working under containerd with selinux-enable=trueselinux 在 selinux-enable=true 的容器下不能工作
【发布时间】：2020-04-11 07:28:15
【问题描述】：

我有两个 k8s 集群，一个使用 docker，另一个直接使用 containerd，都启用了 selinux。但是我发现 selinux 实际上并没有在 containerd 上运行，尽管这两个集群具有相同版本的 containerd 和 runc。

我错过了 containerd 的一些设置吗？

docker：文件标签为container_file_t，进程运行为container_t，selinux工作正常

K8s version: 1.17
Docker version: 19.03.6
Containerd version: 1.2.10
selinux enable by adding ["selinux-enabled": true] to /etc/docker/daemon.json

// create pod using tomcat official image then check the process and file label
# kubectl exec tomcat -it -- ps -eZ
LABEL                             PID TTY          TIME CMD
system_u:system_r:container_t:s0:c655,c743          1 ?        00:00:00 java

# ls -Z /usr/local/openjdk-8/bin/java
system_u:object_r:container_file_t:s0:c655,c743 /usr/local/openjdk-8/bin/java

containerd：文件标签为container_var_lib_t，进程运行为spc_t，selinux没有意义

K8s version: 1.15
Containerd version: 1.2.10
selinux enable by setting [enable_selinux = true] in /etc/containerd/config.toml

// create pod using tomcat official image then check the process and file label
# kubectl exec tomcat -it -- ps -eZ
LABEL                             PID TTY          TIME CMD
system_u:system_r:spc_t:s0          1 ?        00:00:00 java

# ls -Z /usr/local/openjdk-8/bin/java
system_u:object_r:container_var_lib_t:s0 /usr/local/openjdk-8/bin/java

// seems run as spc_t is correct
# sesearch -T -t container_var_lib_t | grep spc_t
   type_transition container_runtime_t container_var_lib_t : process spc_t;

【问题讨论】：

标签： kubernetes selinux containerd

【解决方案1】：

从这个issue我们可以读到：

Containerd 包括对 SELinux 的最低支持。更准确地说，它包含使用 SELinux 在系统上运行的支持，但它不支持使用 SELinux 提高容器安全性。

所有容器都使用 system_u:system_r:container_runtime_t:s0 标签，但不再赘述进行了细分

没有完全支持您使用 Containerd 所做的事情。您的方法是正确的，但问题是缺乏对此功能的支持。

【讨论】：