5.9. Récupération des résultats bruts de l'opérateur de conformité
Lorsque vous prouvez la conformité de votre cluster OpenShift Container Platform, vous pouvez avoir besoin de fournir les résultats de l'analyse à des fins d'audit.
5.9.1. Obtention des résultats bruts de l'opérateur de conformité à partir d'un volume persistant
Procédure
L'opérateur de conformité génère et stocke les résultats bruts dans un volume persistant. Ces résultats sont au format ARF (Asset Reporting Format).
Explorez l'objet
ComplianceSuite:$ oc get compliancesuites nist-moderate-modified \ -o json -n openshift-compliance | jq '.status.scanStatuses[].resultsStorage'
Exemple de sortie
{ "name": "ocp4-moderate", "namespace": "openshift-compliance" } { "name": "nist-moderate-modified-master", "namespace": "openshift-compliance" } { "name": "nist-moderate-modified-worker", "namespace": "openshift-compliance" }Cela montre les réclamations en volume persistantes où les résultats bruts sont accessibles.
Vérifiez l'emplacement des données brutes en utilisant le nom et l'espace de noms de l'un des résultats :
$ oc get pvc -n openshift-compliance rhcos4-moderate-worker
Exemple de sortie
NAME STATUS VOLUME CAPACITY ACCESS MODES STORAGECLASS AGE rhcos4-moderate-worker Bound pvc-548f6cfe-164b-42fe-ba13-a07cfbc77f3a 1Gi RWO gp2 92m
Récupérer les résultats bruts en créant un pod qui monte le volume et copie les résultats :
$ oc create -n openshift-compliance -f pod.yaml
Exemple pod.yaml
apiVersion: "v1" kind: Pod metadata: name: pv-extract spec: containers: - name: pv-extract-pod image: registry.access.redhat.com/ubi8/ubi command: ["sleep", "3000"] volumeMounts: - mountPath: "/workers-scan-results" name: workers-scan-vol volumes: - name: workers-scan-vol persistentVolumeClaim: claimName: rhcos4-moderate-workerUne fois le pod en cours d'exécution, téléchargez les résultats :
$ oc cp pv-extract:/workers-scan-results -n openshift-compliance .
ImportantLa création d'un pod qui monte le volume persistant conservera la revendication en tant que
Bound. Si la classe de stockage en cours d'utilisation du volume a des autorisations définies surReadWriteOnce, le volume ne peut être monté que par un seul module à la fois. Vous devez supprimer le module une fois terminé, sinon l'opérateur ne pourra pas planifier un module et continuer à stocker les résultats à cet emplacement.Une fois l'extraction terminée, le pod peut être supprimé :
$ oc delete pod pv-extract -n openshift-compliance
