3.3. Central クラスターのアップグレード

手順

1. ローカルロールにパッチを適用します。

   $ oc -n stackrox patch role edit -p '{"rules":[{"apiGroups":["*"],"resources":["*"],"verbs":["create","get", "list", "watch", "update", "patch", "delete","deletecollection"]}]}'

   Copy to Clipboard Toggle word wrap

2. 既存のロールとロールバインディングをクリーンアップします。

   $ oc -n stackrox delete RoleBinding admission-control-use-scc || true

   Copy to Clipboard Toggle word wrap

   $ oc -n stackrox delete RoleBinding sensor-use-scc || true

   Copy to Clipboard Toggle word wrap

   $ oc -n stackrox delete Role use-anyuid-scc || true

   Copy to Clipboard Toggle word wrap

3. ハードコーディングされたセキュリティーコンテキストを削除して、sensor、admission-control、restricted[-v2] セキュリティーコンテキスト制約に設定します。

   $ oc -n stackrox patch deploy sensor -p '{"spec":{"template":{"spec":{"securityContext":null}}}}' 

   1

   Copy to Clipboard Toggle word wrap

   1

   Red Hat Advanced Cluster Security for Kubernetes は Pod を自動的に再作成しますが、sensor の再起動には時間がかかる場合があります。

   $ oc -n stackrox patch deploy admission-control -p '{"spec":{"template":{"spec":{"securityContext":null}}}}'

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、Central をアップグレードします。

   $ oc -n stackrox patch deploy/central -p '{"spec":{"template":{"spec":{"containers":[{"name":"central","env":[{"name":"ROX_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}]}]}}}}'

   Copy to Clipboard Toggle word wrap

   $ oc -n stackrox patch deployment/scanner -p '{"spec":{"template":{"spec":{"containers":[{"name":"scanner","securityContext":{"runAsUser":65534}}]}}}}'

   Copy to Clipboard Toggle word wrap

   $ oc -n stackrox set image deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:3.73.5 

   1

   Copy to Clipboard Toggle word wrap

   1

   プライベートイメージレジストリーからイメージをデプロイする場合は、新しいイメージをプライベートレジストリーにプッシュし、ここでイメージレジストリーアドレスを置き換えます。

   重要

   Helm または Operator を使用して Red Hat Advanced Cluster Security for Kubernetes をインストールしておらず、OpenShift OAuth サーバーを使用して認証を有効にする場合は、次の追加コマンドを実行する必要があります。

   $ oc -n stackrox set env deploy/central ROX_ENABLE_OPENSHIFT_AUTH=true

   Copy to Clipboard Toggle word wrap

   $ oc -n stackrox patch serviceaccount/central -p '
   {
   "metadata": {
   "annotations": {
   "serviceaccounts.openshift.io/oauth-redirecturi.main": "sso/providers/openshift/callback",
   "serviceaccounts.openshift.io/oauth-redirectreference.main": "{"kind":"OAuthRedirectReference","apiVersion":"v1","reference":{"kind":"Route","name":"central"}}"
   }
   }
   }'

   Copy to Clipboard Toggle word wrap

手順

1. ローカルロールにパッチを適用します。

   $ kubectl -n stackrox patch role edit -p '{"rules":[{"apiGroups":["*"],"resources":["*"],"verbs":["create","get", "list", "watch", "update", "patch", "delete","deletecollection"]}]}'

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Central をアップグレードします。

   $ kubectl -n stackrox patch deploy/central -p '{"spec":{"template":{"spec":{"containers":[{"name":"central","env":[{"name":"ROX_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}]}]}}}}'

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox patch deployment/scanner -p '{"spec":{"template":{"spec":{"containers":[{"name":"scanner","securityContext":{"runAsUser":65534}}]}}}}'

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set image deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:3.73.5 

   1

   Copy to Clipboard Toggle word wrap

   1

   プライベートイメージレジストリーからイメージをデプロイする場合は、新しいイメージをプライベートレジストリーにプッシュし、ここでイメージレジストリーアドレスを置き換えます。

手順

1. roxctl CLI の最新バージョンをダウンロードします。

   $ curl -O https://mirror.openshift.com/pub/rhacs/assets/3.73.5/bin/Linux/roxctl

   Copy to Clipboard Toggle word wrap

2. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

3. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

手順

1. roxctl CLI の最新バージョンをダウンロードします。

   $ curl -O https://mirror.openshift.com/pub/rhacs/assets/3.73.5/bin/Darwin/roxctl

   Copy to Clipboard Toggle word wrap

2. バイナリーからすべての拡張属性を削除します。

   $ xattr -c roxctl

   Copy to Clipboard Toggle word wrap

3. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

4. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

手順

1. パッチを適用します。

   • OpenShift Container Platform を使用する場合は、以下のコマンドを入力します。

     $ oc -n stackrox patch deployment.apps/scanner-db --patch '{"spec":{"template":{"spec":{"initContainers":[{"name":"init-db","env":[{"name":"POSTGRES_PASSWORD_FILE","value":"/run/secrets/stackrox.io/secrets/password"}],"command":["/usr/local/bin/docker-entrypoint.sh","postgres","-c","config_file=/etc/postgresql.conf"],"volumeMounts":[{"name":"db-data","mountPath":"/var/lib/postgresql/data"},{"name":"scanner-db-tls-volume","mountPath":"/run/secrets/stackrox.io/certs","readOnly":true},{"name":"scanner-db-password","mountPath":"/run/secrets/stackrox.io/secrets","readOnly":true}],"securityContext":{"runAsGroup":70,"runAsNonRoot":true,"runAsUser":70}}]}}}}'

     Copy to Clipboard Toggle word wrap

   • Kubernetes を使用する場合は、次のコマンドを入力します。

     $ kubectl -n stackrox patch deployment.apps/scanner-db --patch '{"spec":{"template":{"spec":{"initContainers":[{"name":"init-db","env":[{"name":"POSTGRES_PASSWORD_FILE","value":"/run/secrets/stackrox.io/secrets/password"}],"command":["/usr/local/bin/docker-entrypoint.sh","postgres","-c","config_file=/etc/postgresql.conf"],"volumeMounts":[{"name":"db-data","mountPath":"/var/lib/postgresql/data"},{"name":"scanner-db-tls-volume","mountPath":"/run/secrets/stackrox.io/certs","readOnly":true},{"name":"scanner-db-password","mountPath":"/run/secrets/stackrox.io/secrets","readOnly":true}],"securityContext":{"runAsGroup":70,"runAsNonRoot":true,"runAsUser":70}}]}}}}'

     Copy to Clipboard Toggle word wrap

2. パスを削除します。

   • OpenShift Container Platform を使用する場合は、以下のコマンドを入力します。

     $ oc -n stackrox patch deployment.apps/scanner-db --type json --patch '[{"op":"remove","path":"/spec/template/spec/containers/0/volumeMounts/2"}]'

     Copy to Clipboard Toggle word wrap

   • Kubernetes を使用する場合は、次のコマンドを入力します。

     $ kubectl -n stackrox patch deployment.apps/scanner-db --type json --patch '[{"op":"remove","path":"/spec/template/spec/containers/0/volumeMounts/2"}]'

     Copy to Clipboard Toggle word wrap