Red Hat Summit5.4. オフラインモードでのカーネルサポートパッケージの更新
Collector は、セキュアクラスター内の各ノードの実行時アクティビティーを監視します。アクティビティーを監視するには、Collector に eBPF プログラムの形式のプローブが必要です。
CORE_BPF 収集方法を使用した場合、プローブがカーネルバージョンに固有のものではないため、基礎となるカーネルの更新後もプローブを引き続き使用できます。この収集方法では、サポートパッケージを提供または更新する必要がありません。
代わりに、収集方法 EBPF を使用した場合、プローブがホストにインストールされている Linux カーネルバージョンに固有のものになります。Collector イメージには、リリース時のサポート対象カーネル用のビルトインプローブセットが含まれています。ただし、それ以降のカーネルでは、新しいプローブが必要になります。
Red Hat Advanced Cluster Security for Kubernetes が通常モードで実行されている (インターネットに接続されている) 場合、必要なプローブ組み込まれていないと、Collector が新しいプローブを自動的にダウンロードします。
オフラインモードでは、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージを手動でダウンロードして、Central にアップロードできます。次に、Collector はこれらのプローブを Central からダウンロードします。
Collector は、次の順序で新しいプローブを確認します。確認の対象は次のとおりです。
- 既存の Collector イメージ。
- カーネルサポートパッケージ (Central にアップロードした場合)。
- インターネット上で利用可能な Red Hat 操作のサーバー。Collector は、Central のネットワーク接続を使用してプローブを確認し、ダウンロードします。
Collector は確認後に新しいプローブを取得しなかった場合、CrashLoopBackoff イベントを報告します。
ネットワーク設定によってアウトバウンドトラフィックが制限されている場合は、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージを手動でダウンロードして、Central にアップロードできます。その後、Collector がこれらのプローブを Central からダウンロードするため、インターネットへのアウトバウンドアクセスを回避できます。
5.4.1. カーネルサポートパッケージのダウンロード
Red Hat Advanced Cluster Security for Kubernetes をオフラインモードで実行している場合は、最近サポートされたすべての Linux カーネルバージョンのプローブを含むパッケージをダウンロードして、Central にアップロードできます。
手順
- https://install.stackrox.io/collector/support-packages/index.html から利用可能なサポートパッケージを表示およびダウンロードします。カーネルサポートパッケージリストは、Red Hat Advanced Cluster Security for Kubernetes バージョンに基づいてサポートパッケージを分類します。
5.4.2. カーネルサポートパッケージの Central へのアップロード
最近サポートされたすべての Linux カーネルバージョンのプローブを含むカーネルサポートパッケージを Central にアップロードできます。
前提条件
- 管理者ロールを持つ API トークンがある。
-
roxctlコマンドラインインターフェイス (CLI) をインストールしておく必要がある。
手順
ROX_API_TOKENおよびROX_CENTRAL_ADDRESS環境変数を設定します。$ export ROX_API_TOKEN=<api_token>
$ export ROX_CENTRAL_ADDRESS=<address>:<port_number>
次のコマンドを実行して、カーネルサポートパッケージをアップロードします。
$ roxctl collector support-packages upload <package_file> \ -e "$ROX_CENTRAL_ADDRESS"
- 以前に Central にアップロードされたコンテンツを含む新しいサポートパッケージをアップロードすると、新しいファイルのみがアップロードされます。
Central に存在するものと同じ名前で内容が異なるファイルを含む新しいサポートパッケージをアップロードすると、
roxctlは警告メッセージを表示し、ファイルを上書きしません。-
--overwriteオプションを upload コマンドとともに使用して、ファイルを上書きできます。
-
- 必要なプローブを含むサポートパッケージをアップロードすると、Central はこのプローブをダウンロードするための (インターネットへの) アウトバウンドリクエストを行いません。Central は、サポートパッケージのプローブを使用します。
