14.2. Red Hat Advanced Cluster Security for Kubernetes アドオンの使用
Red Hat Advanced Cluster Security for Kubernetes アドオンを使用すると、脆弱性検出およびコンプライアンス関連のデータを Red Hat Advanced Cluster Security for Kubernetes から Splunk に転送できます。
まず、Red Hat Advanced Cluster Security for Kubernetes のすべてのリソースに対する read 権限を持つ API トークンを生成し、そのトークンを使用してアドオンをインストールおよび設定します。
14.2.1. Splunk アドオンのインストールと設定
Splunk インスタンスから Red Hat Advanced Cluster Security for Kubernetes アドオンをインストールできます。
StackRox Kubernetes Security Platform アドオンとの下位互換性を維持するために、設定された入力の source_type パラメーターと input_type パラメーターは引き続き stackrox_compliance、stackrox_violations、および stackrox_vulnerability_management と呼ばれます。
前提条件
-
Red Hat Advanced Cluster Security for Kubernetes のすべてのリソースに対する
read権限を持つ API トークンがある。Analyst システムロールを割り当てて、このレベルのアクセスを許可できます。Analyst ロールには、すべてのリソースに対する read 権限がある。
手順
- Red Hat Advanced Cluster Security for Kubernetes アドオンを Splunkbase からダウンロードします。
- Splunk インスタンスの Splunk ホームページに移動します。
-
Apps
Manage Apps に移動します。 - Install app from file を選択します。
- Upload app ポップアップボックスで、Choose File を選択し、Red Hat Advanced Cluster Security for Kubernetes アドオンファイルを選択します。
- Upload をクリックします。
- Restart Splunk をクリックし、再起動することを確認します。
- Splunk が再起動したら、Apps メニューから Red Hat Advanced Cluster Security for Kubernetes を選択します。
Configuration に移動し、Add-on Settings をクリックします。
-
Central Endpoint には、Central インスタンスの IP アドレスまたは名前を入力します。たとえば、
central.custom:443です。 - アドオン用に生成した API token を入力します。
- Save をクリックします。
-
Central Endpoint には、Central インスタンスの IP アドレスまたは名前を入力します。たとえば、
- Inputs に移動します。
Create New Input をクリックし、次のいずれかを選択します。
- コンプライアンスデータを取得する ACS Compliance
- 違反データを取得する ACS Violations
- 脆弱性データを取得する ACS Vulnerability Management
- 入力の Name を入力します。
- Red Hat Advanced Cluster Security for Kubernetes からデータをプルする Interval を選択します。たとえば、14400 秒ごと。
- データの送信先となる Splunk Index を選択します。
- Central Endpoint には、Central インスタンスの IP アドレスまたは名前を入力します。
- アドオン用に生成した API token を入力します。
- Add をクリックします。
検証
Red Hat Advanced Cluster Security for Kubernetes アドオンのインストールを確認するには、受信したデータをクエリーします。
-
Splunk インスタンスで、Search に移動し、クエリーに
index=* sourcetype="stackrox-*"と入力します。 - Enter キーを押します。
-
Splunk インスタンスで、Search に移動し、クエリーに
設定したソースが検索結果に表示されることを確認します。
14.2.2. StackRox Kubernetes Security Platform アドオンの更新
StackRox Kubernetes Security Platform アドオンを使用している場合は、新しい Red Hat Advanced Cluster Security for Kubernetes アドオンにアップグレードする必要があります。
更新通知は、Splunk ホームページの左側のアプリのリストの下にあります。または、Apps
前提条件
-
Red Hat Advanced Cluster Security for Kubernetes のすべてのリソースに対する
read権限を持つ API トークンがある。Analyst システムロールを割り当てて、このレベルのアクセスを許可できます。Analyst ロールには、すべてのリソースに対する read 権限がある。
手順
- 更新通知で Update をクリックします。
- 利用規約に同意するためのチェックボックスを選択し、Accept and Continue をクリックして更新をインストールします。
- インストール後、Apps メニューから Red Hat Advanced Cluster Security for Kubernetes を選択します。
Configuration に移動し、Add-on Settings をクリックします。
- アドオン用に生成した API token を入力します。
- Save をクリックします。
14.2.3. Splunk アドオンのトラブルシューティング
Red Hat Advanced Cluster Security for Kubernetes アドオンからのイベントの受信を停止した場合は、Splunk アドオンのデバッグログでエラーを確認してください。
Splunk は、設定された入力ごとにデバッグログファイルを /opt/splunk/var/log/splunk ディレクトリーに作成します。stackrox_<input>_<uid>.log という名前のファイル (たとえば、stackrox_compliance_29a3e14798aa2363d.log) を確認し、問題を探します。
