インストール

手順

1. Web コンソールで、Operators → OperatorHub ページに移動します。
2. Red Hat Advanced Cluster Security for Kubernetes が表示されない場合は、Filter by keyword ボックスに Advanced Cluster Security と入力して、Red Hat Advanced Cluster Security for Kubernetes Operator を検索します。
3. 詳細ページを表示するには、Red Hat Advanced Cluster Security for Kubernetes Operator を 選択します。
4. Operator についての情報を確認してから、Install をクリックします。

5. Install Operator ページで以下を行います。

   • Installation mode のデフォルト値を All namespaces on the cluster として保持します。
   • Installed namespace フィールドの Operator をインストールする特定の namespace を選択します。Red Hat は、rhacs-operator namespace に Red Hat Advanced Cluster Security for Kubernetes Operator をインストールすることを推奨します。

   • Update approval には、自動更新または手動更新を選択します。

     自動更新を選択した場合、Operator の新しいバージョンが利用可能になると、Operator Lifecycle Manager (OLM) は Operator の実行中のインスタンスを自動的にアップグレードします。

     手動による更新を選択する場合は、新しいバージョンの Operator が利用可能になると、OLM は更新リクエストを作成します。クラスター管理者は、Operator を新規バージョンに更新できるように OLM 更新リクエストを手動で承認する必要があります。

     重要

     手動更新を選択した場合、Central がインストールされているクラスターで RHACS Operator を更新するときに、すべてのセキュアなクラスターで RHACS Operator を更新する必要があります。セキュアなクラスターと、Central がインストールされているクラスターは、最適な機能を確保するために同じバージョンである必要があります。

6. Install をクリックします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースは、rhacs-operator および openshift-operator プロジェクトではなく、独自のプロジェクト、または Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにインストールする必要があります。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat では、プロジェクト名として stackrox を使用することをお勧めします。
5. Provided APIs セクションで、Central を選択します。Create Central をクリックします。
6. Central カスタムリソースの名前を入力し、適用するラベルを追加します。それ以外の場合は、使用可能なオプションのデフォルト値を受け入れます。
7. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. init バンドルを生成します。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。
3. Central タブを選択します。
4. Centrals リストから、stackrox-central-services を選択して詳細を表示します。

5. admin ユーザーのパスワードを取得するには、以下のいずれかを行います。

   • Admin Password Secret Reference のリンクをクリックします。

   • OpenShift Container Platform CLI を使用して、Admin Credentials Info に一覧表示されているコマンドを入力します。

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

     Copy to Clipboard Toggle word wrap

6. OpenShift Container Platform CLI コマンドを使用して、RHACS ポータルへのリンクを見つけます。

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   Copy to Clipboard Toggle word wrap

   または、Red Hat Advanced Cluster Security for Kubernetes Web コンソールを使用して、次のコマンドを実行することにより、RHACS ポータルへのリンクを見つけることができます。

   1. Networking → Routes に移動します。
   2. central ルートを見つけて、Location 列の下にある RHACS ポータルリンクをクリックします。
7. ユーザー名 admin と、前の手順で取得したパスワードを使用して、RHACS ポータルにログインします。Red Hat Advanced Cluster Security for Kubernetes が完全に設定されるまで (たとえば、Central リソースと少なくとも 1 つの SecuredCluster リソースがインストールおよび設定されている場合)、ダッシュボードにデータはありません。SecuredCluster リソースは、Central リソースと同じクラスターにインストールおよび設定できます。SecuredCluster リソースを備えたクラスターは、Red Hat Advanced Cluster Management (RHACM) のマネージドクラスターに似ています。

次のステップ

1. オプション: central 設定を設定します。
2. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用してセキュリティー保護するクラスター上にリソースを生成し、安全に保存する必要があります。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. デフォルトでは、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告

   Red Hat Advanced Cluster Security for Kubernetes SecuredCluster リソースは、デフォルトの openshift-operators プロジェクトではなく、独自のプロジェクトにインストールする必要があります。

4. 新しいプロジェクト名を stackrox またはその他の名前で入力し、Create をクリックします。
5. Provided APIs セクションで、Secured Cluster を選択します。
6. Create SecuredCluster 選択します。
7. SecuredCluster カスタムリソースの名前を入力します。
8. Central Endpoint には、Central インスタンスのアドレスとポート番号を入力します。たとえば、Central が https://central.example.com で利用できる場合は、central エンドポイントを central.example.com:443 として指定します。デフォルト値の central.stackrox.svc:443 は、セキュアなクラスターサービスと Central を同じクラスターにインストールした場合にのみ機能します。
9. デフォルト値を受け入れるか、使用可能なオプションのカスタム値を設定します。
10. Create をクリックします。

次のステップ

1. オプション: 追加のセキュアなクラスター設定を設定します。
2. Red Hat Advanced Cluster Security for Kubernete のインストールを確認します。

1. 公開方法に基づいて RHACS ポータルのアドレスを見つけます。

   1. ルートの場合。

      $ oc get route central -n stackrox

      Copy to Clipboard Toggle word wrap

   2. ロードバランサーの場合。

      $ oc get service central-loadbalancer -n stackrox

      Copy to Clipboard Toggle word wrap

   3. port forward の場合:

      1. 以下のコマンドを実行します。

         $ oc port-forward svc/central 18443:443 -n stackrox

         Copy to Clipboard Toggle word wrap
      2. https://localhost:18443/ に移動します。

2. OpenShift Container Platform CLI を使用して、新しいプロジェクトを作成します。

   $ oc new-project test

   Copy to Clipboard Toggle word wrap

3. 重大な脆弱性を持ついくつかのアプリケーションを開始します。

   $ oc run shell --labels=app=shellshock,team=test-team \
     --image=vulnerables/cve-2014-6271 -n test
   $ oc run samba --labels=app=rce \
     --image=vulnerables/cve-2017-7494 -n test

   Copy to Clipboard Toggle word wrap

1. クラスターに Red Hat Advanced Cluster Security for Kubernetes Operator をインストールする。
2. 既存の init バンドルを使用するか、または 新規の init バンドルを生成する。
3. init バンドルを使用してクラスターにリソースを作成する。
4. セキュリティー保護されたクラスターサービスをクラスターにインストールする。

1. Red Hat Advanced Cluster Security for Kubernetes Helm チャートリポジトリーを追加します。
2. central-services Helm チャートをインストールして、集約コンポーネント (Central および Scanner) をインストールします。
3. init バンドルを生成します。
4. secured-cluster-services Helm チャートをインストールし、クラスターごと および ノードごと のコンポーネント (Sensor、Admission Controller、および Collector) をインストールします。

1. Red Hat Advanced Cluster Security for Kubernetes Helm チャートリポジトリーを追加します。
2. central-services Helm チャートを設定します。
3. central-services Helm チャートをインストールして、集約コンポーネント (Central および Scanner) をインストールします。
4. init バンドルを生成します。
5. secure-cluster-services Helm チャートを設定します。
6. secured-cluster-services Helm チャートをインストールし、クラスターごと および ノードごと のコンポーネント (Sensor、Admission Controller、および Collector) をインストールします。

手順

1. roxctl CLI の最新バージョンをダウンロードします。

   $ curl -O https://mirror.openshift.com/pub/rhacs/assets/3.70.2/bin/Linux/roxctl

   Copy to Clipboard Toggle word wrap

2. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

3. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、イメージレジストリーアクセスを設定します。

   $ ./central-bundle/scanner/scripts/setup.sh

   Copy to Clipboard Toggle word wrap

2. スクリプトが終了したら、次のコマンドを実行して Scanner サービスを作成します。

   $ oc create -R -f central-bundle/scanner

   Copy to Clipboard Toggle word wrap

手順

1. RHACS ポータルで、Platform Configuration → Clusters に移動します。
2. +NewCluster を選択します。
3. クラスターの名前を指定します。

4. Sensor をデプロイする場所に基づいて、フィールドに適切な値を入力します。

   • 同じクラスターに Sensor をデプロイする場合は、すべてのフィールドのデフォルト値を受け入れます。
   • 別のクラスターにデプロイする場合は、central.stackrox.svc:443 を、他のクラスターからアクセス可能なロードバランサー、ノードポート、またはポート番号を含む他のアドレスに置き換えます。

   • HAProxy、AWS Application Load Balancer (ALB)、AWS Elastic Load Balancing (ELB) などの非 gRPC 対応のロードバランサーを使用している場合は、WebSocket Secure (wss) プロトコルを使用してください。wss を使用するには:

     • アドレスの前に wss:// を付けます。
     • アドレスの後にポート番号を追加します (例 wss://stackrox-central.example.com:443)。
5. Next をクリックして、Sensor のセットアップを続行します。

6. Download YAML File and Keys をクリックして、クラスターバンドル (zip アーカイブ) をダウンロードします。

   重要

   クラスターバンドルの zip アーカイブには、クラスターごとに固有の設定とキーが含まれています。同じファイルを別のクラスターで再利用しないでください。

7. モニター対象クラスターにアクセスできるシステムから、クラスターバンドルから sensor スクリプトを解凍して実行します。

   $ unzip -d sensor sensor-<cluster_name>.zip

   Copy to Clipboard Toggle word wrap

   $ ./sensor/sensor.sh

   Copy to Clipboard Toggle word wrap

   Sensor をデプロイするために必要な権限がないという警告が表示された場合は、画面の指示に従うか、クラスター管理者に連絡して支援を求めてください。

検証

1. RHACS ポータルに戻り、デプロイメントが成功したかどうかを確認します。成功すると、セクション #2 の下に緑色のチェックマークが表示されます。緑色のチェックマークが表示されない場合は、次のコマンドを使用して問題を確認してください。

   • OpenShift Container Platform

     $ oc get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap

   • Kubernetes の場合:

     $ kubectl get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap
2. Finish をクリックしてウィンドウを閉じます。

1. 公開方法に基づいて RHACS ポータルのアドレスを見つけます。

   1. ルートの場合。

      $ oc get route central -n stackrox

      Copy to Clipboard Toggle word wrap

   2. ロードバランサーの場合。

      $ oc get service central-loadbalancer -n stackrox

      Copy to Clipboard Toggle word wrap

   3. port forward の場合:

      1. 以下のコマンドを実行します。

         $ oc port-forward svc/central 18443:443 -n stackrox

         Copy to Clipboard Toggle word wrap
      2. https://localhost:18443/ に移動します。

2. OpenShift Container Platform CLI を使用して、新しいプロジェクトを作成します。

   $ oc new-project test

   Copy to Clipboard Toggle word wrap

3. 重大な脆弱性を持ついくつかのアプリケーションを開始します。

   $ oc run shell --labels=app=shellshock,team=test-team \
     --image=vulnerables/cve-2014-6271 -n test
   $ oc run samba --labels=app=rce \
     --image=vulnerables/cve-2017-7494 -n test

   Copy to Clipboard Toggle word wrap