9.3. roxctl CLI を使用した RHACS Cloud Service でのセキュアクラスターの手動アップグレード

手順

1. ターゲットのオペレーティングシステムの roxctl アーキテクチャーを確認します。

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.4.5/bin/Linux/roxctl${arch}"

3. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

4. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

手順

1. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.4.5/bin/Darwin/roxctl${arch}"

2. バイナリーからすべての拡張属性を削除します。

   $ xattr -c roxctl

3. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

4. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

手順

1. Sensor イメージを更新します。

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.4.5 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

2. Compliance イメージを更新します。

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.4.5 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

3. Collector イメージを更新します。

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.4.5 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

   注記

   コレクタースリムイメージを使用している場合は、代わりに次のコマンドを実行します。

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-slim-rhel8:{rhacs-version}

4. アドミッションコントロールイメージを更新します。

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.4.5

手順

1. すべてのセキュアクラスターにデプロイされているすべての RHACS サービスをリスト表示します。

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   出力例

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   この例では、各 Pod に独自のカスタム SCC があり、openshift.io/scc フィールドで指定されていることがわかります。

2. RHACS のカスタム SCC の代わりに Red Hat OpenShift SCC を使用するには、必要なロールとロールバインディングを追加します。

3. すべてのセキュアクラスターで Red Hat OpenShift SCC を使用するために必要なロールとロールバインディングを追加するには、次の手順を実行します。

   1. 次の内容を使用して、ロールリソースとロールバインディングリソースを定義する upgrade-scs.yaml という名前のファイルを作成します。

      例9.1 サンプル YAML ファイル

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  1
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  2
        namespace: stackrox 3
      rules:  4
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 5
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc 6
        namespace: stackrox
      roleRef: 7
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: 8
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      1

      Kubernetes リソースのタイプ。この例では Role です。

      2

      ロールリソースの名前。

      3

      ロールの作成先の namespace。

      4

      ロールリソースによって付与される権限を記述します。

      5

      Kubernetes リソースのタイプ。この例では RoleBinding です。

      6

      ロールバインディングリソースの名前。

      7

      同じ namespace 内のバインドするロールを指定します。

      8

      ロールにバインドするサブジェクトを指定します。

   2. 次のコマンドを実行して、upgrade-scs.yaml ファイルで指定したロールリソースとロールバインディングリソースを作成します。

      $ oc -n stackrox create -f ./update-scs.yaml

      重要

      upgrade-scs.yaml ファイルで指定したロールとロールバインディングを作成するには、各セキュアクラスターでこのコマンドを実行する必要があります。

4. RHACS に固有の SCC を削除します。

   1. すべてのセキュアクラスターに固有の SCC を削除するには、次のコマンドを実行します。

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      重要

      各セキュアクラスターに固有の SCC を削除するには、各セキュアクラスターでこのコマンドを実行する必要があります。