roxctl CLI

roxctl CLI をインストールして、コマンドラインインターフェイスから Red Hat Advanced Cluster Security for Kubernetes と対話できます。roxctl は、Linux、Windows、または macOS にインストールできます。

roxctl クライアントは、Red Hat Advanced Cluster Security for Kubernetes roxctl イメージのデフォルトのエントリーポイントです。コンテナーイメージで roxctl クライアントを実行するには、以下を行います。

CLI をインストールした後、次のコマンドを使用して CLI を実行できます。

docker run -e ROX_API_TOKEN=$ROX_API_TOKEN \
  -it registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.70.2 \
  -e $ROX_CENTRAL_ADDRESS <command>

$ docker run -e ROX_API_TOKEN=$ROX_API_TOKEN \
  -it registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.70.2 \
  -e $ROX_CENTRAL_ADDRESS <command>

Central は、以下に関する情報を保存します。

roxctl CLI を使用して、Central のデータベースをバックアップおよび復元できます。

Central データベースのバックアップ

次のコマンドを実行して、Central のデータベースをバックアップします。

roxctl -e "$ROX_CENTRAL_ADDRESS" central backup

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central backup

Central データベースの復元

次のコマンドを実行して、Central のデータベースを復元します。

roxctl -e "$ROX_CENTRAL_ADDRESS" central db restore <backup_filename>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central db restore <backup_filename>

Kubernetes または OpenShift Container Platform クラスターを保護するには、Red Hat Advanced Cluster Security for Kubernetes サービスをクラスターにデプロイする必要があります。Platform Configuration → Clusters ビューに移動して RHACS ポータルでデプロイメントファイルを生成するか、roxctl CLI を使用できます。

Sensor デプロイメント YAML ファイルの生成

roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate k8s --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate k8s --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate openshift --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate openshift --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

--help の出力を読んで、システムアーキテクチャーに応じて使用する必要のある他のオプションを確認してください。

--central に提供するエンドポイントに、Red Hat Advanced Cluster Security for Kubernetes サービスをデプロイしているクラスターから到達できることを確認してください。

既存のクラスターのセンサーバーンドルをダウンロード

次のコマンドを使用して、クラスター名または ID を指定して、既存のクラスターの Sensor バンドルをダウンロードします。

roxctl sensor get-bundle <cluster_name_or_id>

$ roxctl sensor get-bundle <cluster_name_or_id>

クラスター統合の削除

roxctl -e "$ROX_CENTRAL_ADDRESS" cluster delete --name=<cluster_name>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" cluster delete --name=<cluster_name>

roxctl CLI を使用して、ポリシーに準拠しているかどうかデプロイメント YAML ファイルおよびイメージを確認できます。

出力形式の設定

deployment check、image check、または image scan コマンドを使用してポリシーコンプライアンスをチェックする場合は、-o オプションを使用して出力形式を指定できます。このオプションは、コマンドの出力が端末にどのように表示されるかを決定します。

コマンドに -o オプションを追加し、形式を json、table、csv、または junit として指定することにより、出力形式を変更できます。

たとえば、次のコマンドはデプロイメントをチェックしてから、結果を csv 形式で表示します。

roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file =<yaml_filename> \
  -o csv

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file =<yaml_filename> \
  -o csv

出力を設定するためにさまざまなオプションを使用できます。次の表に、オプションとそれらが使用可能な形式を示します。

roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file=<yaml_filename> \
  -o table --headers POLICY-NAME,SEVERITY \
  --row-jsonpath-expressions="{results.#.violatedPolicies.#.name,results.#.violatedPolicies.#.severity}"

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file=<yaml_filename> \
  -o table --headers POLICY-NAME,SEVERITY \
  --row-jsonpath-expressions="{results.#.violatedPolicies.#.name,results.#.violatedPolicies.#.severity}"

デプロイ YAML ファイルを確認する

次のコマンドは、YAML デプロイメントファイル内のセキュリティーポリシーのビルド時およびデプロイ時の違反をチェックします。次のコマンドを使用して、以下を検証します。

roxctl -e "$ROX_CENTRAL_ADDRESS" deployment check --file=<yaml_filename>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" deployment check --file=<yaml_filename>

イメージを確認する

次のコマンドは、イメージ内のセキュリティーポリシーのビルド時違反をチェックします。

roxctl -e "$ROX_CENTRAL_ADDRESS" image check --image=<image_name>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image check --image=<image_name>

イメージスキャン結果の確認

特定のイメージのスキャン結果を確認することもできます。

次のコマンドは、イメージで見つかったコンポーネントおよび脆弱性を JSON 形式で返します。形式は API リファレンスで定義されています。

roxctl -e "$ROX_CENTRAL_ADDRESS" image scan --image <image_name>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image scan --image <image_name>

Red Hat Advanced Cluster Security for Kubernetes で、関連付けられたレジストリーとスキャナーからイメージメタデータおよびイメージスキャン結果を再プルするには、-force オプションを追加します。

中央ログレベルの管理

Central は、情報をコンテナーログに保存します。

ログの表示

次を実行すると、Central のコンテナーログを確認できます。

kubectl logs -n stackrox <central_pod>

$ kubectl logs -n stackrox <central_pod>

oc logs -n stackrox <central_pod>

$ oc logs -n stackrox <central_pod>

現在のログレベルの表示

ログレベルを変更して、Central ログの情報を増減できます。次のコマンドを実行して、現在のログレベルを表示します。

roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log

ログレベルの変更

次のコマンドを実行して、ログレベルを変更します。

roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log --level=<log_level>

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log --level=<log_level> 

デバッグ情報の取得

問題を調査するためのデバッグ情報を収集するには、次のコマンドを実行します。

roxctl -e "$ROX_CENTRAL_ADDRESS" central debug dump

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug dump