アーキテクチャー

Central

⮂

Scanner V4 Indexer

Central は、特定のイメージをダウンロードしてインデックス作成 (分析) するように Indexer に要求します。このプロセスにより、インデックスレポートが作成されます。Scanner V4 Indexer は、インデックス作成プロセスを支援するマッピングファイルを Central に要求します。

Central

⮂

Scanner V4 Matcher

Central は、特定のイメージを既知の脆弱性と照合するように Scanner V4 Matcher に要求します。このプロセスにより、最終的なスキャン結果、つまり脆弱性レポートが生成されます。Scanner V4 Matcher は、Central から最新の脆弱性を要求します。

Sensor

⮂

Scanner V4 Indexer

Operator を使用してデプロイされた Red Hat OpenShift 環境の場合、またはスキャン委譲が使用されている場合、SecuredCluster のスキャンがデフォルトで有効になります。SecuredCluster のスキャンが有効になっている場合、Sensor は Scanner V4 にイメージのインデックス作成を要求します。Scanner V4 Indexer は、Central が同じ namespace に存在しない限り、インデックス作成プロセスを支援するマッピングファイルを Sensor に要求します。その場合は、代わりに Central と通信します。

Scanner V4 Indexer

→

Image Registries

Indexer は、レジストリーからイメージのメタデータを取得してイメージのレイヤーを確認し、以前にインデックス作成されていない各レイヤーをダウンロードします。

Scanner V4 Matcher

→

Scanner V4 Indexer

Scanner V4 Matcher は、イメージのインデックス作成の結果、つまりインデックスレポートを Indexer に要求します。次に、レポートを使用して関連する脆弱性を特定します。この対話は、イメージのインデックスが Central クラスターで作成された場合にのみ発生します。この対話は、セキュアクラスターでインデックス作成されたイメージの脆弱性を Scanner V4 が照合する場合には発生しません。

Scanner V4 Indexer

→

Scanner V4 DB

Indexer は、イメージレイヤーのダウンロードとインデックス作成が 1 回だけ行われるように、インデックス作成の結果に関連するデータを保存します。これにより、不必要なネットワークトラフィックやその他のリソースの使用が防止されます。

Scanner V4 Matcher

→

Scanner V4 DB

Scanner V4 Matcher は、すべての脆弱性データをデータベースに保存し、このデータを定期的に更新します。Scanner V4 インデクサーは、脆弱性照合プロセスの一環としてこのデータもクエリーします。

Sensor

⮂

Central

Central と Sensor 間の双方向通信です。Sensor は、Sensor バンドル設定の更新をダウンロードするために定期的に Central をポーリングします。また、セキュアクラスターで観察されたアクティビティーと観察されたポリシー違反のイベントも送信します。Central は Sensor と通信して、有効なポリシーに対してすべてのデプロイメントの再処理を強制します。

Collector

⮂

Sensor

Collector は Sensor と通信し、すべてのイベントをクラスターのそれぞれの Sensor に送信します。サポートされる OpenShift Container Platform クラスターでは、Collector はノードにインストールされているソフトウェアパッケージを分析し、それらを Sensor に送信して、後で脆弱性の有無をスキャンできるようにします。Collector は、不明ドライバーも Sensor に要求します。Sensor は、Collector にコンプライアンススキャン結果を要求します。さらに Sensor は、Central から外部の Classless Inter-Domain Routing 情報を受け取り、それを Collector にプッシュします。

Admission コントローラー

⮂

Sensor

Sensor は、適用するセキュリティーポリシーのリストを Admission コントローラーに送信します。Admission コントローラーは、セキュリティーポリシー違反アラートを Sensor に送信します。Admission コントローラーは、必要に応じて Sensor にイメージスキャンを要求することもできます。

Admission コントローラー

➞

Central

これは一般的ではありません。ただし、Central エンドポイントが判明しており、かつ Sensor が使用できない場合、Admission コントローラーは Central と直接通信できます。

Central

⮂

Scanner

Central と Scanner の間の双方向通信です。Central は Scanner にイメージスキャンを要求し、Scanner は Central に CVE データベースの更新を要求します。

Central

➞

definitions.stackrox.io

Central は、definitions.stackrox.io エンドポイントに接続して、集約された脆弱性情報を受信します。

Central

➞

collector-modules.stackrox.io

Central は、サポートされているカーネルモジュールを collector-modules.stackrox.io からダウンロードします。

Central

➞

イメージレジストリー

Central はイメージレジストリーにクエリーを実行して、イメージメタデータを取得します。たとえば、RHACS ポータルで Dockerfile の手順を表示します。

Scanner

➞

イメージレジストリー

Scanner はイメージレジストリーからイメージをプルして、脆弱性を特定します。

Sensor

⮂

Central

Central と Sensor 間の双方向通信です。Sensor は、Sensor バンドル設定の更新をダウンロードするために定期的に Central をポーリングします。また、セキュアクラスターで観察されたアクティビティーと観察されたポリシー違反のイベントも送信します。Central は Sensor と通信して、有効なポリシーに対してすべてのデプロイメントの再処理を強制します。

Sensor

⮂

Scanner

Sensor は、セキュアクラスターにインストールされている軽量スキャナーと通信できます。この接続により、Central がレジストリーにアクセスできないシナリオでも、Sensor はセキュアクラスターから直接レジストリーにアクセスできるようになります。Scanner は Sensor から更新されたデータを要求し、Sensor はこれらの要求を Central に転送し、Central は要求されたデータを definitions.stackrox.io からダウンロードします。

Collector

⮂

Sensor

Collector は Sensor と通信し、すべてのイベントをクラスターのそれぞれの Sensor に送信します。サポートされる OpenShift Container Platform クラスターでは、Collector はノードにインストールされているソフトウェアパッケージを分析し、それらを Sensor に送信して、後で脆弱性の有無をスキャンできるようにします。Collector は、不明ドライバーも Sensor に要求します。Sensor は、Collector にコンプライアンススキャン結果を要求します。さらに Sensor は、Central から外部の Classless Inter-Domain Routing 情報を受け取り、それを Collector にプッシュします。

Admission コントローラー

⮂

Sensor

Sensor は、適用するセキュリティーポリシーのリストを Admission コントローラーに送信します。Admission コントローラーは、セキュリティーポリシー違反アラートを Sensor に送信します。Admission コントローラーは、必要に応じて Sensor にイメージスキャンを要求することもできます。

Admission コントローラー

➞

Central

これは一般的ではありません。ただし、Central エンドポイントが判明しており、かつ Sensor が使用できない場合、Admission コントローラーは Central と直接通信できます。

Central および Scanner V4 Indexer

gRPC

8443

セキュアなクラスター上の Central と Sensor

443

Sensor と Central は主に、Sensor から Central のポート 443 に開始される双方向 gRPC ストリームを介して通信します。

Central とユーザー (CLI)

443

--force-http1 オプションの詳細は、roxctl コマンドオプションを参照してください。

Central と脆弱性フィード

HTTPS

443

デフォルトで definitions.stackrox.io に接続します。

Collector から Sensor へ

gRPC

443

これは、Collector によって Sensor のポート 443 に開始される双方向 gRPC 接続です。

Collector (Compliance) から Sensor へ

gRPC

8444

ノードスキャンが OpenShift Container Platform リリース 4 で有効にされている場合、この接続は Collector Pod で実行されたことを準拠するために Sensor によって開始されます。

Scanner から Scanner-DB へ

TCP

5432

Scanner V4 Indexer から Central へ

HTTPS

443

Scanner V4 Indexer と Matcher から Scanner V4 DB へ

TCP

5432

Sensor と Admission Controller

gRPC

443

これは、Admission Controller によって Sensor のポート 443 に開始される双方向 gRPC ストリームです。これは、委譲されたスキャンシナリオまたは OpenShift Container Platform のセキュアなクラスターで発生します。