roxctl CLI

前提条件

• はじめに、RHACS ポータルから認証トークンを生成している。

検証

• インストールした roxctl のバージョンを確認します。

  $ docker run -it registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:4.2.5 version

• 以下のコマンドを使用して ROX_ENDPOINT 環境変数を設定している。

  $ export ROX_ENDPOINT=<host:port> 1

  1

  ROX_ENDPOINT 環境変数に保存するホストおよびポートの情報。

手順

• 次のコマンドを実行して、Central の現在の認証ステータスとユーザー情報に関する情報を取得します。

  $ roxctl central whoami

  出力例

  UserID:
  	    <redacted>
  User name:
  	    <redacted>
  Roles:
   APIToken creator, Admin, Analyst, Continuous Integration, Network Graph Viewer, None, Sensor Creator, Vulnerability Management Approver, Vulnerability Management Requester, Vulnerability Manager, Vulnerability Report Creator
  Access:
    rw Access
    rw Administration
    rw Alert
    rw CVE
    rw Cluster
    rw Compliance
    rw Deployment
    rw DeploymentExtension
    rw Detection
    rw Image
    rw Integration
    rw K8sRole
    rw K8sRoleBinding
    rw K8sSubject
    rw Namespace
    rw NetworkGraph
    rw NetworkPolicy
    rw Node
    rw Secret
    rw ServiceAccount
    rw VulnerabilityManagementApprovals
    rw VulnerabilityManagementRequests
    rw WatchedImage
    rw WorkflowAdministration

  出力を確認して、認証とユーザーの詳細が想定どおりであることを確認します。

• 継続的インテグレーション (CI) を備えた運用環境で API トークンを使用します。各トークンには特定のアクセス許可が割り当てられ、実行できるアクションを制御できます。さらに、API トークンはブラウザーベースのログインなどの対話型プロセスを必要としないため、自動プロセスに最適です。これらのトークンの有効期間 (TTL) の値は 1 年で、有効期間が長くなり、シームレスな統合と運用効率が向上します。
• 管理者パスワードはテスト目的にのみ使用してください。これを実稼働環境で使用しないでください。
• roxctl Central login コマンドは、対話型かつローカルでのみ使用してください。

手順

• これらのコマンドを使用する前に、次の変数をエクスポートします。

  $ export ROX_API_TOKEN=<api_token>

  $ export ROX_ENDPOINT=<address>:<port_number>

• --help オプションを使用して、コマンドに関する詳細情報を取得できます。
• Red Hat Advanced Cluster Security Cloud Service (RHACS Cloud Service) で、Central アドレスを必要とする roxctl コマンドを使用する場合は、Red Hat Hybrid Cloud Console の Instance Details セクションに表示される Central インスタンスアドレス を使用します。たとえば、acs-data-ABCD12345.acs.rhcloud.com の代わりに acs-ABCD12345.acs.rhcloud.com を使用します。

• 以下のコマンドを使用して ROX_ENDPOINT 環境変数を設定している。

  $ export ROX_ENDPOINT=<host:port> 1

  1

  ROX_ENDPOINT 環境変数に保存するホストおよびポートの情報。

手順

• 次のコマンドを実行して、Kubernetes クラスターに必要な Sensor 設定を生成し、Central インスタンスに関連付けます。

  $ roxctl sensor generate k8s --name <cluster_name> --central "$ROX_ENDPOINT"

手順

• 以下のコマンドを実行して、OpenShift Container Platform クラスターに必要な Sensor 設定を生成し、Central インスタンスに関連付けます。

  $ roxctl sensor generate openshift --openshift-version <ocp_version> --name <cluster_name> --central "$ROX_ENDPOINT" 1

  1

  --openshift-version オプションでは、クラスターの主要な OpenShift Container Platform バージョン番号を指定します。たとえば、OpenShift Container Platform バージョン 3.x の場合は 3 を指定し、OpenShift Container Platform バージョン 4.x の場合は 4 を指定します。

  --help の出力を読んで、システムアーキテクチャーに応じて使用する必要のある他のオプションを確認してください。

  --central に提供するエンドポイントに、Red Hat Advanced Cluster Security for Kubernetes サービスをデプロイしているクラスターから到達できることを確認してください。

  重要

  HAProxy、AWS Application Load Balancer (ALB)、AWS Elastic Load Balancing (ELB)などの gRPC 非対応のロードバランサーを使用している場合は、次のガイドラインに従ってください。

  • WebSocket Secure (wss) プロトコルを使用します。wss を使用するには、アドレスの前に wss:// を付けます。

  • アドレスの後にポート番号を追加します。次に例を示します。

    $ roxctl sensor generate k8s --central wss://stackrox-central.example.com:443

手順

• Sensor インストールスクリプトを実行して、Sensor をインストールします。

  $ ./sensor-<cluster_name>/sensor.sh

  Sensor のインストールに必要な権限がないという警告が表示された場合は、画面の指示に従うか、クラスター管理者に連絡してください。

手順

• 次のコマンドを実行して、クラスター名 または ID を指定して既存のクラスターの Sensor バンドルをダウンロードします。

  $ roxctl sensor get-bundle <cluster_name_or_id>

手順

• クラスターを削除する前に、Central から削除するクラスター名が正しいことを確認してください。

  $ roxctl cluster delete --name=<cluster_name>

  重要

  インストール方法によっては、クラスター統合を削除しても、クラスター内で実行されている RHACS サービスは削除されません。サービスは、Sensor インストールバンドルから delete-sensor.sh スクリプトを実行することで削除できます。

• 以下のコマンドを使用して ROX_ENDPOINT 環境変数を設定している。

  $ export ROX_ENDPOINT=<host:port> 1

  1

  ROX_ENDPOINT 環境変数に保存するホストおよびポートの情報。

手順

• 次のコマンドを実行して、YAML デプロイメントファイル内のセキュリティーポリシーのビルド時およびデプロイ時の違反を確認します。

  $ roxctl deployment check --file=<yaml_filename>

  形式は API リファレンスで定義されています。Red Hat Advanced Cluster Security for Kubernetes (RHACS) で、関連付けられたレジストリーとスキャナーからイメージメタデータおよびイメージスキャン結果を再プルするには、-force オプションを追加します。

  注記

  特定のイメージスキャン結果を確認するには、Image リソースの read および write の両方の権限を持つトークンが必要です。デフォルトの 継続的インテグレーション システムのロールには、すでに必要な権限があります。

  このコマンドは、以下の項目を検証します。

  • リソース制限や特権オプションなど、YAML ファイルの設定オプション
  • コンポーネントや脆弱性など、YAML ファイルで使用されるイメージの側面

手順

• 次のコマンドを実行して、イメージ内のセキュリティーポリシーのビルド時の違反を確認します。

  $ roxctl image check --image=<image_name>

  形式は API リファレンスで定義されています。Red Hat Advanced Cluster Security for Kubernetes (RHACS) で、関連付けられたレジストリーとスキャナーからイメージメタデータおよびイメージスキャン結果を再プルするには、-force オプションを追加します。

  注記

  特定のイメージスキャン結果を確認するには、Image リソースの read および write の両方の権限を持つトークンが必要です。デフォルトの 継続的インテグレーション システムのロールには、すでに必要な権限があります。

手順

• 以下のコマンドを実行して、イメージで見つかったコンポーネントおよび脆弱性を JSON 形式で返します。

  $ roxctl image scan --image <image_name>

  形式は API リファレンスで定義されています。Red Hat Advanced Cluster Security for Kubernetes (RHACS) で、関連付けられたレジストリーとスキャナーからイメージメタデータおよびイメージスキャン結果を再プルするには、-force オプションを追加します。

  注記

  特定のイメージスキャン結果を確認するには、Image リソースの read および write の両方の権限を持つトークンが必要です。デフォルトの 継続的インテグレーション システムのロールには、すでに必要な権限があります。

• 以下のコマンドを使用して ROX_ENDPOINT 環境変数を設定している。

  $ export ROX_ENDPOINT=<host:port> 1

  1

  ROX_ENDPOINT 環境変数に保存するホストおよびポートの情報。

手順

• 次のコマンドを実行して、Central Pod のログを表示します。

  $ kubectl logs -n stackrox <central_pod>

手順

• 次のコマンドを実行して、Central Pod のログを表示します。

  $ oc logs -n stackrox <central_pod>

手順

• 次のコマンドを実行して、現在のログレベルを表示します。

  $ roxctl central debug log

手順

• 次のコマンドを実行して、ログレベルを変更します。

  $ roxctl central debug log --level=<log_level> 1

  1

  <log_level> の許容値は、Panic、Fatal、Error、Warn、Info、および Debug です。

手順

• 次のコマンドを実行して、問題を調査するためのデバッグ情報を収集します。

  $ roxctl central debug dump

• RHACS 管理者パスワードまたは API トークンと中央アドレスを使用して診断バンドルを生成するには、roxctl CLI を使用した診断バンドルの生成 の手順に従います。