5.14. oc-compliance プラグインの使用

手順

1. oc-compliance イメージをデプロイメントして、oc-compliance バイナリーを取得します。

   $ podman run --rm -v ~/.local/bin:/mnt/out:Z registry.redhat.io/compliance/oc-compliance-rhel8:stable /bin/cp /usr/bin/oc-compliance /mnt/out/

   出力例

   W0611 20:35:46.486903   11354 manifest.go:440] Chose linux/amd64 manifest from the manifest list.

   oc-compliance を実行できるようになりました。

手順

1. 以下を実行します。

   $ oc compliance bind [--dry-run] -N <binding name> [-S <scansetting name>] <objtype/objname> [..<objtype/objname>]

   • -S フラグを省略する場合、Compliance Operator によって提供される default のスキャン設定が使用されます。
   • オブジェクトタイプは、Kubernetes オブジェクトタイプです。profile または tailoredprofile にすることができます。複数のオブジェクトを指定できます。
   • オブジェクト名は、.metadata.name などの Kubernetes リソースの名前です。

   • --dry-run オプションを追加して、作成されるオブジェクトの YAML ファイルを表示します。

     たとえば、以下のプロファイルとスキャン設定を指定します。

     $ oc get profile.compliance -n openshift-compliance

     出力例

     NAME              AGE
     ocp4-cis          9m54s
     ocp4-cis-node     9m54s
     ocp4-e8           9m54s
     ocp4-moderate     9m54s
     ocp4-ncp          9m54s
     rhcos4-e8         9m54s
     rhcos4-moderate   9m54s
     rhcos4-ncp        9m54s
     rhcos4-ospp       9m54s
     rhcos4-stig       9m54s

     $ oc get scansettings -n openshift-compliance

     出力例

     NAME                 AGE
     default              10m
     default-auto-apply   10m

2. default 設定を ocp4-cis および ocp4-cis-node プロファイルに適用するには、以下を実行します。

   $ oc compliance bind -N my-binding profile/ocp4-cis profile/ocp4-cis-node

   出力例

   Creating ScanSettingBinding my-binding

   ScanSettingBinding CR が作成されると、バインドされたプロファイルは、関連する設定で両方のプロファイルのスキャンを開始します。全体的に、これはCompliance Operator でスキャンを開始するための最も高速な方法です。

手順

1. プロファイルの修復を表示します。

   $ oc compliance fetch-fixes profile ocp4-cis -o /tmp

   出力例

   No fixes to persist for rule 'ocp4-api-server-api-priority-flowschema-catch-all' 1
   No fixes to persist for rule 'ocp4-api-server-api-priority-gate-enabled'
   No fixes to persist for rule 'ocp4-api-server-audit-log-maxbackup'
   Persisted rule fix to /tmp/ocp4-api-server-audit-log-maxsize.yaml
   No fixes to persist for rule 'ocp4-api-server-audit-log-path'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-no-aa'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-node'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-rbac'
   No fixes to persist for rule 'ocp4-api-server-basic-auth'
   No fixes to persist for rule 'ocp4-api-server-bind-address'
   No fixes to persist for rule 'ocp4-api-server-client-ca'
   Persisted rule fix to /tmp/ocp4-api-server-encryption-provider-cipher.yaml
   Persisted rule fix to /tmp/ocp4-api-server-encryption-provider-config.yaml

   1

   ルールが自動的に修復されないか、修復が行われないために対応する修復のないルールがプロファイルにある場合は常に、No fixes to persist の警告が出されることが予想されます。

2. YAML ファイルのサンプルを表示できます。head コマンドは、最初の 10 行を表示します。

   $ head /tmp/ocp4-api-server-audit-log-maxsize.yaml

   出力例

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     maximumFileSizeMegabytes: 100

3. スキャン後に作成される ComplianceRemediation オブジェクトから修復を表示します。

   $ oc get complianceremediations -n openshift-compliance

   出力例

   NAME                                             STATE
   ocp4-cis-api-server-encryption-provider-cipher   NotApplied
   ocp4-cis-api-server-encryption-provider-config   NotApplied

   $ oc compliance fetch-fixes complianceremediations ocp4-cis-api-server-encryption-provider-cipher -o /tmp

   出力例

   Persisted compliance remediation fix to /tmp/ocp4-cis-api-server-encryption-provider-cipher.yaml

4. YAML ファイルのサンプルを表示できます。head コマンドは、最初の 10 行を表示します。

   $ head /tmp/ocp4-cis-api-server-encryption-provider-cipher.yaml

   出力例

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     encryption:
       type: aescbc