インストール

手順

1. Web コンソールで、Operators → OperatorHub ページに移動します。
2. Red Hat Advanced Cluster Security for Kubernetes が表示されない場合は、Filter by keyword ボックスに Advanced Cluster Security と入力して、Red Hat Advanced Cluster Security for Kubernetes Operator を検索します。
3. 詳細ページを表示するには、Red Hat Advanced Cluster Security for Kubernetes Operator を 選択します。
4. Operator に関する情報を読み、Install をクリックします。

5. Install Operator ページで以下を行います。

   • Installation mode のデフォルト値を All namespaces on the cluster として保持します。
   • Installed namespace フィールドの Operator をインストールする特定の namespace を選択します。Red Hat Advanced Cluster Security for Kubernetes Operator を rhacs-operator namespace にインストールします。

   • Update approval には、自動更新または手動更新を選択します。

     自動更新を選択した場合、Operator の新しいバージョンが利用可能になると、Operator Lifecycle Manager (OLM) は Operator の実行中のインスタンスを自動的にアップグレードします。

     手動による更新を選択する場合は、新しいバージョンの Operator が利用可能になると、OLM は更新リクエストを作成します。クラスター管理者は、更新リクエストを手動で承認して、Operator を最新バージョンに更新する必要があります。

     重要

     手動更新を選択した場合、Central がインストールされているクラスターで RHACS Operator を更新するときに、すべてのセキュアなクラスターで RHACS Operator を更新する必要があります。セキュアなクラスターと、Central がインストールされているクラスターは、最適な機能を確保するために同じバージョンである必要があります。

6. Install をクリックします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースは、rhacs-operator および openshift-operator プロジェクトではなく、独自のプロジェクト、または Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにインストールする必要があります。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat では、プロジェクト名として stackrox を使用することをお勧めします。
5. Provided APIs セクションで、Central を選択します。Create Central をクリックします。
6. Central カスタムリソースの名前を入力し、適用するラベルを追加します。それ以外の場合は、使用可能なオプションのデフォルト値を受け入れます。
7. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用してセキュリティー保護するクラスター上にリソースを生成し、安全に保存する必要があります。
4. モニターする各クラスターに、セキュアなクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースは、rhacs-operator および openshift-operator プロジェクトではなく、独自のプロジェクト、または Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにインストールする必要があります。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat では、プロジェクト名として stackrox を使用することをお勧めします。

5. OpenShift Container Platform Web コンソールまたはターミナルを使用して、デプロイされた namespace にパスワードシークレットを作成します。

   • OpenShift Container Platform Web コンソールで、Workloads → Secrets ページに移動します。キー password、およびプロビジョニングされたデータベースのスーパーユーザーのパスワードを含むプレーンテキストファイルのパスとしての値を使用して、キー/値のシークレット を作成します。

   • または、ターミナルで次のコマンドを実行します。

     $ oc create secret generic external-db-password \ 

     1

     
       --from-file=password=<password.txt> 

     2

     Copy to Clipboard Toggle word wrap

     1

     Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

     2

     password.txt をプレーンテキストのパスワードが含まれるファイルのパスに置き換えます。

6. OpenShift Container Platform Web コンソールの Red Hat Advanced Cluster Security for Kubernetes オペレーターページに戻ります。Provided APIs セクションで、Central を選択します。Create Central をクリックします。
7. Central カスタムリソースの名前を入力し、適用するラベルを追加します。
8. Central Component Settings → Central DB Settings に移動します。
9. Administrator Password には、参照されるシークレットを external-db-password (または以前に作成したパスワードのシークレット名) として指定します。
10. Connection String (Technology Preview) に、keyword=value 形式で接続文字列を指定します。たとえば、host=<host> port=5432 user=postgres sslmode=verify-ca です。
11. Persistence → PersistentVolumeClaim → Claim Name の場合は、central-db を削除します。

12. 必要に応じて、Central がデータベース証明書を信頼する認証局を指定できます。これを追加するには、次の例に示すように、YAML ビューに移動し、最上位仕様の下に TLS ブロックを追加します。

    spec:
      tls:
        additionalCAs:
        - name: db-ca
          content: |
            <certificate>

    Copy to Clipboard Toggle word wrap
13. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用してセキュリティー保護するクラスター上にリソースを生成し、安全に保存する必要があります。
4. モニターする各クラスターに、セキュアなクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。
3. Central タブを選択します。
4. Centrals リストから、stackrox-central-services を選択して詳細を表示します。

5. admin ユーザーのパスワードを取得するには、以下のいずれかを行います。

   • Admin Password Secret Reference のリンクをクリックします。

   • Red Hat OpenShift CLI を使用して、Admin Credentials Info にリストされているコマンドを入力します。

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

     Copy to Clipboard Toggle word wrap

6. Red Hat OpenShift CLI コマンドを使用して、RHACS ポータルへのリンクを見つけます。

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   Copy to Clipboard Toggle word wrap

   または、Red Hat Advanced Cluster Security for Kubernetes Web コンソールを使用して、次のコマンドを実行することにより、RHACS ポータルへのリンクを見つけることができます。

   1. Networking → Routes に移動します。
   2. central ルートを見つけて、Location 列の下にある RHACS ポータルリンクをクリックします。
7. ユーザー名 admin と、前の手順で取得したパスワードを使用して、RHACS ポータルにログインします。RHACS の設定が完了するまで (たとえば、Central リソースと少なくとも 1 つの SecuredCluster リソースをインストールして設定する)、ダッシュボードでデータを使用できません。SecuredCluster リソースは、Central リソースと同じクラスターにインストールおよび設定できます。SecuredCluster リソースを備えたクラスターは、Red Hat Advanced Cluster Management (RHACM) のマネージドクラスターに似ています。

次のステップ

1. オプション: central 設定を設定します。
2. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用してセキュリティー保護するクラスター上にリソースを生成し、安全に保存する必要があります。
3. モニターする各クラスターに、セキュアなクラスターサービスをインストールします。

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap
   注記

   --set または --set-file パラメーターを使用して設定値を指定することもできます。ただし、これらのオプションは保存されないため、変更を加えるたびにすべてのオプションを手動で再度指定する必要があります。

手順

1. 対話型インストールコマンドを実行します。

   $ roxctl central generate interactive

   Copy to Clipboard Toggle word wrap
   重要

   roxctl CLI を使用して Red Hat Advanced Cluster Security for Kubernetes をインストールすると、下位互換性のためにデフォルトで PodSecurityPolicy (PSP) オブジェクトが作成されます。RHACS を Kubernetes バージョン 1.25 以降または OpenShift Container Platform バージョン 4.12 以降にインストールする場合、PSP オブジェクトの作成を無効にする必要があります。これを行うには、roxctl central generate コマンドと roxctl sensor generate コマンドで --enable-pod-security-policies オプションを false に指定します。

2. Enter を押してプロンプトのデフォルト値を受け入れるか、必要に応じてカスタム値を入力します。

   Enter path to the backup bundle from which to restore keys and certificates (optional):
   Enter PEM cert bundle file (optional): 

   1

   
   Enter administrator password (default: autogenerated):
   Enter orchestrator (k8s, openshift): openshift
   Enter the directory to output the deployment bundle to (default: "central-bundle"):
   Enter the OpenShift major version (3 or 4) to deploy on (default: "0"): 4
   Enter Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   Enter the method of exposing Central (route, lb, np, none) (default: "none"): route 

   2

   
   Enter main image to use (default: "stackrox.io/main:3.0.61.1"):
   Enter whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   Enter whether to enable telemetry (default: "true"):
   Enter the deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Enter Scanner DB image to use (default: "stackrox.io/scanner-db:2.15.2"):
   Enter Scanner image to use (default: "stackrox.io/scanner:2.15.2"):
   Enter Central volume type (hostpath, pvc): pvc 

   3

   
   Enter external volume name (default: "stackrox-db"):
   Enter external volume size in Gi (default: "100"):
   Enter storage class name (optional if you have a default StorageClass configured):

   Copy to Clipboard Toggle word wrap

   1

   カスタム TLS 証明書を追加する場合は、PEM でエンコードされた証明書のファイルパスを指定します。カスタム証明書を指定すると、対話型インストーラーは、使用しているカスタム証明書の PEM 秘密鍵を提供するように要求します。

   2

   RHACS ポータルを使用するには、ルート、ロードバランサー、またはノードポートを使用して Central を公開する必要があります。

   3

   hostPath ボリュームを使用して OpenShift Container Platform に Red Hat Cluster Security for Kubernetes をインストールする場合は、SELinux ポリシーを変更する必要があります。

   警告

   OpenShift Container Platform で、hostPath ボリュームを使用するには、SELinux ポリシーを変更して、ホストとコンテナーが共有するディレクトリーへのアクセスを許可する必要があります。これは、SELinux がデフォルトでディレクトリー共有をブロックしているためです。SELinux ポリシーを変更するには、次のコマンドを実行します。

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   Copy to Clipboard Toggle word wrap

   ただし、Red Hat は SELinux ポリシーの変更を推奨していません。代わりに、OpenShift Container Platform にインストールするときに PVC を使用してください。

手順

1. setup.sh スクリプトを実行して、イメージレジストリーアクセスを設定します。

   $ ./central-bundle/central/scripts/setup.sh

   Copy to Clipboard Toggle word wrap

2. 必要なリソースを作成します。

   $ oc create -R -f central-bundle/central

   Copy to Clipboard Toggle word wrap

3. デプロイメントの進行状況を確認します。

   $ oc get pod -n stackrox -w

   Copy to Clipboard Toggle word wrap

4. Central の実行後、RHACS ポータルの IP アドレスを見つけて、ブラウザーで開きます。プロンプトに応答するときに選択した公開方法に応じて、次のいずれかの方法を使用して IP アドレスを取得します。

   Expand

   公開方法	コマンド	アドレス	例
   ルート	oc -n stackrox get route central	出力の HOST/PORT 列の下のアドレス	https://central-stackrox.example.route
   ノードポート	oc get node -owide && oc -n stackrox get svc central-loadbalancer	サービス用に表示されたポート上の任意のノードの IP またはホスト名	https://198.51.100.0:31489
   ロードバランサー	oc -n stackrox get svc central-loadbalancer	EXTERNAL-IP、またはポート 443 でサービスに表示されるホスト名	https://192.0.2.0
   なし	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

   Show more

手順

1. 公開方法に基づいて RHACS ポータルのアドレスを見つけます。

   1. ルートの場合。

      $ oc get route central -n stackrox

      Copy to Clipboard Toggle word wrap

   2. ロードバランサーの場合。

      $ oc get service central-loadbalancer -n stackrox

      Copy to Clipboard Toggle word wrap

   3. port forward の場合:

      1. 以下のコマンドを実行します。

         $ oc port-forward svc/central 18443:443 -n stackrox

         Copy to Clipboard Toggle word wrap
      2. https://localhost:18443/ に移動します。
2. RHACS ポータルで、Platform Configuration → Integrations に移動します。
3. Authentication Tokens セクションに移動し、Cluster Init Bundle をクリックする。
4. Generate bundle をクリックする。

5. クラスター初期化バンドルの名前を入力し、Generate をクリックする。

   1. Helm チャートを使用してインストールする場合は、Download Helm Values File をクリックして、生成されたバンドルをダウンロードします。
   2. Operator を使用してインストールする場合は、Download Kubernetes Secret File をクリックして、生成されたバンドルをダウンロードします。

次のステップ

1. セキュアなクラスターでリソースを作成して、init バンドルを適用します。
2. 各クラスターにセキュアなクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. RHACS Operator をクリックします。
3. Operator details ページの central ナビゲーションメニューから Secured Cluster をクリックします。
4. Create SecuredCluster をクリックします。

5. Configure via フィールドで次のいずれかのオプションを選択します。

   • Form view: 画面上のフィールドを使用してセキュアなクラスターを設定し、他のフィールドを変更する必要がない場合は、このオプションを使用します。
   • YAML view: このビューを使用して、YAML ファイルを使用してセキュアなクラスターをセットアップします。YAML ファイルがウィンドウに表示され、その中のフィールドを編集できます。このオプションを選択した場合、ファイルの編集が終了したら、Create をクリックします。
6. Form view を使用している場合は、既定の名前を受け入れるか編集して、新しいプロジェクト名を入力します。デフォルト値は stackrox-secured-cluster-services です。
7. オプション: クラスターのラベルを追加します。
8. SecuredCluster カスタムリソースの一意の名前を入力します。

9. Central Endpoint には、Central インスタンスのアドレスとポート番号を入力します。たとえば、Central が https://central.example.com で利用できる場合は、central エンドポイントを central.example.com:443 として指定します。デフォルト値の central.stackrox.svc:443 は、セキュアなクラスターサービスと Central を同じクラスターにインストールした場合にのみ機能します。複数のクラスターを設定する場合は、デフォルト値を使用しないでください。代わりに、各クラスターの Central Endpoint 値を設定するときにホスト名を使用します。

   • セキュアなクラスターサービスと Central を同じクラスターにインストールする場合のみ、central.stackrox.svc:443 を使用します。
10. デフォルト値を受け入れるか、必要に応じてカスタム値を設定します。たとえば、カスタム証明書または信頼されていない CA を使用している場合は、TLS を設定する必要がある場合があります。
11. Create をクリックします。

次のステップ

1. オプション: 追加のセキュアなクラスター設定を設定します。
2. インストールの検証

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-secured-cluster-services rhacs/secured-cluster-services \
     --reuse-values \ 

   1

   
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap

   1

   --reuse-values パラメーターを指定する必要があります。指定しない場合、Helm upgrade コマンドは以前に設定されたすべての設定をリセットします。

   注記

   --set または --set-file パラメーターを使用して設定値を指定することもできます。ただし、これらのオプションは保存されないため、変更を加えるたびにすべてのオプションを手動で再度指定する必要があります。

手順

1. セキュアなクラスターの RHACS ポータルで、Platform Configuration → Clusters に移動します。
2. +NewCluster を選択します。
3. クラスターの名前を指定します。

4. Sensor をデプロイする場所に基づいて、フィールドに適切な値を入力します。

   • 同じクラスターに Sensor をデプロイする場合は、すべてのフィールドのデフォルト値を受け入れます。
   • 別のクラスターにデプロイする場合は、central.stackrox.svc:443 を、他のクラスターからアクセス可能なロードバランサー、ノードポート、またはポート番号を含む他のアドレスに置き換えます。

   • HAProxy、AWS Application Load Balancer (ALB)、AWS Elastic Load Balancing (ELB) などの非 gRPC 対応のロードバランサーを使用している場合は、WebSocket Secure (wss) プロトコルを使用してください。wss を使用するには:

     • アドレスの前に wss:// を付けます。
     • アドレスの後にポート番号を追加します (例 wss://stackrox-central.example.com:443)。
5. Next をクリックして、Sensor のセットアップを続行します。

6. Download YAML File and Keys をクリックして、クラスターバンドル (zip アーカイブ) をダウンロードします。

   重要

   クラスターバンドルの zip アーカイブには、クラスターごとに固有の設定とキーが含まれています。同じファイルを別のクラスターで再利用しないでください。

7. モニター対象クラスターにアクセスできるシステムから、クラスターバンドルから sensor スクリプトを解凍して実行します。

   $ unzip -d sensor sensor-<cluster_name>.zip

   Copy to Clipboard Toggle word wrap

   $ ./sensor/sensor.sh

   Copy to Clipboard Toggle word wrap

   Sensor をデプロイするために必要な権限がないという警告が表示された場合は、画面の指示に従うか、クラスター管理者に連絡して支援を求めてください。

検証

1. RHACS ポータルに戻り、デプロイメントが成功したかどうかを確認します。成功した場合、Platform Configuration → Clusters でクラスターのリストを表示すると、クラスターのステータスに緑色のチェックマークと Healthy ステータスが表示されます。緑色のチェックマークが表示されない場合は、次のコマンドを使用して問題を確認してください。

   • OpenShift Container Platform で、次のコマンドを入力します。

     $ oc get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap

   • Kubernetes で、次のコマンドを入力します。

     $ kubectl get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap
2. Finish をクリックしてウィンドウを閉じます。