Red Hat Summit5.4. オフラインモードでのカーネルサポートパッケージの更新
コレクターは、セキュリティー保護されたクラスター内の各ノードの実行時アクティビティーを監視します。アクティビティーをモニターするには、コレクターにプローブが必要です。これらのプローブは、ホストにインストールされている Linux カーネルバージョンに固有の eBPF プログラムまたはカーネルモジュールです。コレクターイメージには、一連のビルトインプローブが含まれています。
Red Hat Advanced Cluster Security for Kubernetes が通常モード (インターネットに接続されている) で実行されている場合、必要なプローブがビルトインされていない場合、コレクターは新しいプローブを自動的にダウンロードします。
オフラインモードでは、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージを手動でダウンロードして、Central にアップロードできます。次に、Collector はこれらのプローブを Central からダウンロードします。
コレクターは、次の順序で新しいプローブをチェックします。以下をチェックします:
- 既存のコレクターイメージ。
- カーネルサポートパッケージ (Central にアップロードした場合)。
- インターネット上で利用可能な Red Hat 操作のサーバー。コレクターは、Central のネットワーク接続を使用して、プローブをチェックおよびダウンロードします。
コレクターがチェック後に新しいプローブを取得しない場合、CrashLoopBackoff イベントを報告します。
ネットワーク設定によってアウトバウンドトラフィックが制限されている場合は、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージを手動でダウンロードして、Central にアップロードできます。次に、コレクターはこれらのプローブを Central からダウンロードするため、インターネットへのアウトバウンドアクセスを回避できます。
5.4.1. カーネルサポートパッケージのダウンロード
Red Hat Advanced Cluster Security for Kubernetes をオフラインモードで実行している場合は、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージをダウンロードして、Central にアップロードできます。
手順
- https://install.stackrox.io/collector/support-packages/index.html から利用可能なサポートパッケージを表示およびダウンロードします。カーネルサポートパッケージリストは、Red Hat Advanced Cluster Security for Kubernetes バージョンに基づいてサポートパッケージを分類します。
5.4.2. カーネルサポートパッケージの Central へのアップロード
最近サポートされたすべての Linux カーネルバージョンのプローブを含むカーネルサポートパッケージを Central にアップロードできます。
前提条件
- 管理者ロールを持つ API トークンがある。
-
roxctlコマンドラインインターフェイス (CLI) をインストールしておく必要がある。
手順
ROX_API_TOKENおよびROX_CENTRAL_ADDRESS環境変数を設定します。$ export ROX_API_TOKEN=<api_token>
$ export ROX_CENTRAL_ADDRESS=<address>:<port_number>
次のコマンドを実行して、カーネルサポートパッケージをアップロードします。
$ roxctl collector support-packages upload <package_file> \ -e "$ROX_CENTRAL_ADDRESS"
- 以前に Central にアップロードされたコンテンツを含む新しいサポートパッケージをアップロードすると、新しいファイルのみがアップロードされます。
Central に存在するものと同じ名前で内容が異なるファイルを含む新しいサポートパッケージをアップロードすると、
roxctlは警告メッセージを表示し、ファイルを上書きしません。-
--overwriteオプションを upload コマンドとともに使用して、ファイルを上書きできます。
-
- 必要なプローブを含むサポートパッケージをアップロードすると、Central はこのプローブをダウンロードするための (インターネットへの) アウトバウンドリクエストを行いません。Central は、サポートパッケージのプローブを使用します。
