アップグレード

前提条件

• プライベートイメージレジストリーからイメージをデプロイする場合は、最初に新しいイメージをプライベートレジストリーにプッシュしてから、このセクションのコマンドのイメージレジストリーを置き換えます。

手順

• 次のコマンドを実行して、Central をアップグレードします。

  $ oc -n stackrox patch deploy/central -p '{"spec":{"template":{"spec":{"containers":[{"name":"central","env":[{"name":"ROX_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}]}]}}}}' 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc -n stackrox patch deployment/scanner -p '{"spec":{"template":{"spec":{"containers":[{"name":"scanner","securityContext":{"runAsUser":65534}}]}}}}' 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc -n stackrox set image deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:3.69.2 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  重要

  • Red Hat Advanced Cluster Security for Kubernetes 3.65.0 からアップグレードする場合は、次の追加コマンドを実行して、stackrox-central-diagnostics ロールを作成する必要があります。

    $ oc -n stackrox patch role stackrox-central-diagnostics -p '{"rules":[{"apiGroups":["*"],"resources":["deployments","daemonsets","replicasets","configmaps","services"],"verbs":["get","list"]}]}' 

    1

    Copy to Clipboard Toggle word wrap

    1

    Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  • Helm または Operator を使用して Red Hat Advanced Cluster Security for Kubernetes をインストールしておらず、OpenShift OAuth サーバーを使用して認証を有効にする場合は、次の追加コマンドを実行する必要があります。

    $ oc -n stackrox set env deploy/central ROX_ENABLE_OPENSHIFT_AUTH=true

    Copy to Clipboard Toggle word wrap

    $ oc -n stackrox patch serviceaccount/central -p '
    {
    "metadata": {
    "annotations": {
    "serviceaccounts.openshift.io/oauth-redirecturi.main": "sso/providers/openshift/callback",
    "serviceaccounts.openshift.io/oauth-redirectreference.main": "{"kind":"OAuthRedirectReference","apiVersion":"v1","reference":{"kind":"Route","name":"central"}}"
    }
    }
    }'

    Copy to Clipboard Toggle word wrap

検証

• 新しい Pod がデプロイされていることを確認します。

  $ oc get deploy -n stackrox -o wide 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc get pod -n stackrox --watch 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

前提条件

• プライベートイメージレジストリーからイメージをデプロイする場合は、最初に新しいイメージをプライベートレジストリーにプッシュしてから、このセクションのコマンドのイメージレジストリーを置き換えます。
• Red Hat Advanced Cluster Security for Kubernetes をインストールしたときに Red Hat UBI ベースのイメージを使用した場合は、このセクションのコマンドのイメージ名を次の UBI ベースのイメージ名に置き換えてください。

• カスタムスキャナー設定を作成した場合は、スキャナー設定ファイルを更新する前に、これらの変更を適用する必要があります。

  $ roxctl -e "$ROX_CENTRAL_ADDRESS" scanner generate

  Copy to Clipboard Toggle word wrap

  $ oc apply -f scanner-bundle/scanner/02-scanner-03-tls-secret.yaml 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc apply -f scanner-bundle/scanner/02-scanner-04-scanner-config.yaml 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

検証

• 新しい Pod が正常にデプロイされたことを確認します。

  $ oc get pod -n stackrox --watch 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

手順

• Central ログを確認します。

  $ oc logs -n stackrox deploy/central -c central 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  アップグレードが成功すると、次のような出力が表示されます。

  No database restore directory found (this is not an error).
  Migrator: 2019/10/25 17:58:54: starting DB compaction
  Migrator: 2019/10/25 17:58:54: Free fraction of 0.0391 (40960/1048576) is < 0.7500. Will not compact
  badger 2019/10/25 17:58:54 INFO: All 1 tables opened in 2ms
  badger 2019/10/25 17:58:55 INFO: Replaying file id: 0 at offset: 846357
  badger 2019/10/25 17:58:55 INFO: Replay took: 50.324µs
  badger 2019/10/25 17:58:55 DEBUG: Value log discard stats empty
  Migrator: 2019/10/25 17:58:55: DB is up to date. Nothing to do here.
  badger 2019/10/25 17:58:55 INFO: Got compaction priority: {level:0 score:1.73 dropPrefix:[]}
  version: 2019/10/25 17:58:55.189866 ensure.go:49: Info: Version found in the DB was current. We’re good to go!

  Copy to Clipboard Toggle word wrap

手順

• readiness プローブパスを更新します。

  $ oc -n stackrox patch deploy/sensor -p '{"spec":{"template":{"spec":{"containers":[{"name":"sensor","readinessProbe":{"httpGet":{"path":"/ready"}}}]}}}}' 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

手順

• Red Hat Advanced Cluster Security for Kubernetes 3.64.0 は SCC の名前を変更します。Red Hat Advanced Cluster Security for Kubernetes 3.64.0 より前のバージョンからアップグレードする場合は、SCC を削除して再適用する必要があります。それ以外の場合は、次の手順をスキップしてください。

  1. 次のコマンドを実行して、Central を更新します。

     $ oc apply -f - <<EOF
     kind: SecurityContextConstraints
     apiVersion: security.openshift.io/v1
     metadata:
       name: stackrox-central
       labels:
         app.kubernetes.io/name: stackrox
       annotations:
         kubernetes.io/description: stackrox-central is the security constraint for the central server
         email: support@stackrox.com
         owner: stackrox
     allowHostDirVolumePlugin: false
     allowedCapabilities: []
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     defaultAddCapabilities: []
     fsGroup:
       type: MustRunAs
       ranges:
         - max: 4000
           min: 4000
     priority: 0
     readOnlyRootFilesystem: true
     requiredDropCapabilities: []
     runAsUser:
       type: MustRunAs
       uid: 4000
     seLinuxContext:
       type: MustRunAs
     seccompProfiles:
       - '*'
     users:
       - system:serviceaccount:stackrox:central
     volumes:
       - '*'
     EOF

     Copy to Clipboard Toggle word wrap

     $ oc delete scc central

     Copy to Clipboard Toggle word wrap

  2. 次のコマンドを実行して Scanner を更新します。

     $ oc apply -f - <<EOF
     kind: SecurityContextConstraints
     apiVersion: security.openshift.io/v1
     metadata:
       name: stackrox-scanner
       labels:
         app.kubernetes.io/name: stackrox
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-scanner is the security constraint for the Scanner container
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     users:
       - system:serviceaccount:stackrox:scanner
     volumes:
       - '*'
     allowHostDirVolumePlugin: false
     allowedCapabilities: []
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     defaultAddCapabilities: []
     fsGroup:
       type: RunAsAny
     readOnlyRootFilesystem: false
     requiredDropCapabilities: []
     EOF

     Copy to Clipboard Toggle word wrap

     $ oc delete scc scanner

     Copy to Clipboard Toggle word wrap

  3. 各 OpenShift Secured Cluster で以下のコマンドを実行します。

     $ oc apply -f - <<EOF
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-admission-control
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-admission-control is the security constraint for the admission controller
     users:
       - system:serviceaccount:stackrox:admission-control
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     fsGroup:
       type: RunAsAny
     groups: []
     readOnlyRootFilesystem: true
     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - secret
     ---
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-collector
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: This SCC is based on privileged, hostaccess, and hostmount-anyuid
     users:
       - system:serviceaccount:stackrox:collector
     allowHostDirVolumePlugin: true
     allowPrivilegedContainer: true
     fsGroup:
       type: RunAsAny
     groups: []
     priority: 0
     readOnlyRootFilesystem: true
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - hostPath
       - secret
     ---
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-sensor
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-sensor is the security constraint for the sensor
     users:
       - system:serviceaccount:stackrox:sensor
       - system:serviceaccount:stackrox:sensor-upgrader
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     fsGroup:
       type: RunAsAny
     groups: []
     readOnlyRootFilesystem: true
     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowPrivilegedContainer: false
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - secret
     EOF

     Copy to Clipboard Toggle word wrap

     $ oc delete scc admission-control collector sensor

     Copy to Clipboard Toggle word wrap

手順

• 新しい Pod がデプロイされていることを確認します。

  $ oc get deploy,ds -n stackrox -o wide 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc get pod -n stackrox --watch 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

前提条件

• Red Hat Advanced Cluster Security for Kubernetes 3.0.57.0 以降を使用している必要があります。
• ロールバックを実行する前に、永続ストレージで使用可能な空きディスク容量が必要です。Red Hat Advanced Cluster Security for Kubernetes は、ディスク領域を使用して、アップグレード中にデータベースのコピーを保持します。ディスク容量がコピーを保存するのに十分でなく、アップグレードが失敗した場合は、以前のバージョンにロールバックすることはできません。

手順

• アップグレードが失敗した場合 (Central サービスが開始する前) に、次のコマンドを実行して前のバージョンにロールバックします。

  $ oc -n stackrox rollout undo deploy/central 

  1

  Copy to Clipboard Toggle word wrap

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。