統合

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Generic Docker Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Amazon ECR を選択します。
3. New integration をクリックするか、自動生成されたインテグレーションのいずれかをクリックして開き、Edit をクリックします。

4. 以下のフィールドの詳細を入力または変更します。

   1. Update stored credentials: アクセスキーやパスワードなどのクレデンシャルを更新せずにインテグレーションを変更する場合には、このボックスをクリアします。
   2. Integration name: インテグレーションの名前。
   3. Registry ID: レジストリーの ID。
   4. Endpoint: レジストリーのアドレス。この値は、Amazon ECR にプライベート仮想プライベートクラウド (VPC) エンドポイントを使用する場合にのみ必要です。このフィールドは、AssumeRole オプションが選択されている場合には有効ではありません。
   5. Region: レジストリーのリージョン (例: us-west-1)。
5. IAM を使用している場合は、Use Container IAM role を選択します。それ以外の場合は、Use Container IAM role ボックスの選択を解除し、アクセス Access key ID および Secret access key を入力します。

6. AssumeRole 認証を使用している場合は、Use AssumeRole を選択し、以下のフィールドの詳細を入力します。

   1. AssumeRole ID: 引き受けるロールの ID。
   2. AssumeRole External ID (オプション): AssumeRole で外部 ID を使用している場合は、ここに入力できます。
7. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
8. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
9. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Google Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Type: Registry を選択します。
   3. Registry Endpoint: レジストリーのアドレス。
   4. Project: Google Cloud プロジェクト名。
   5. Use workload identity: Workload Identity を使用して認証する場合は、チェックボックスをオンにします。
   6. Service account key (JSON): 認証用のサービスアカウントキー。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、Google Artifact Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Registry endpoint: レジストリーのアドレス。
   3. Project: Google Cloud プロジェクト名。
   4. Use workload identity: Workload Identity を使用して認証する場合は、チェックボックスをオンにします。
   5. Service account key (JSON): 認証用のサービスアカウントキー。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Microsoft Azure Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
   4. オプション: Azure マネージドアイデンティティーまたはワークロードアイデンティティーを使用して認証する場合は、Use workload identity チェックボックスを選択にします。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、JFrog Artifactory を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
6. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Red Hat Quay.io を選択します。
3. New integration をクリックします。
4. Integration name を入力します。

5. Endpoint またはレジストリーのアドレスを入力します。

   1. Quay パブリックリポジトリーと統合する場合は、Type で Registry を選択し、次の手順に進みます。

   2. Quay プライベートレジストリーと統合する場合は、Type で Registry を選択し、次のフィールドに情報を入力します。

      • Robot username: Quay ロボットアカウントを使用してレジストリーにアクセスしている場合は、ユーザー名を <namespace>+<accountname> の形式で入力します。
      • Robot password: Quay ロボットアカウントを使用してレジストリーにアクセスしている場合は、ロボットアカウントのユーザー名のパスワードを入力します。
      • OAuth token: OAuth トークン (非推奨) を使用してレジストリーにアクセスしている場合は、このフィールドに入力します。
6. オプション: レジストリーへの接続時に TLS 証明書を使用していない場合は、Disable TLS certificate validation (insecure) を選択します。
7. オプション: テストを行わずにインテグレーションを作成するには、Create integration without testing を選択します。
8. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、GitHub Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. Username: GitHub ユーザー名。匿名アクセスの場合は空白のままにします。
   4. GitHub Token: GitHub Personal Access Token。匿名アクセスの場合は空白のままにします。
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。匿名アクセスを許可するには、このオプションを有効にします。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで、IBM Cloud Container Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. API key.
5. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
6. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integrations セクションで Red Hat Registry を選択します。
3. New integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration name: インテグレーションの名前。
   2. Endpoint: レジストリーのアドレス。
   3. UsernameとPassword
5. レジストリーへの接続をテストせずに統合を作成する場合は、Create integration without testing を選択します。
6. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
7. Save を選択します。

手順

1. RHACS ポータルで、Platform Configuration → Policy Management に移動します。
2. グローバル検索を使用して、Lifecycle Stage:Build を検索します。

手順

1. RHACS ポータルで、Platform Configuration → Policy Management に移動します。
2. + New Policy をクリックします。
3. ポリシーの Name を入力します。
4. ポリシーの Severity レベルを選択します: クリティカル、高、中、または低。

5. Build、Deploy、または Runtime から、ポリシーが適用される Lifecycle Stages を選択します。複数のステージを選択できます。

   注記

   CI システムと統合するための新しいポリシーを作成する場合は、ライフサイクルステージとして Build を選択します。

   • ビルド時ポリシーは、CVE や Dockerfile 手順などのイメージフィールドに適用されます。
   • デプロイ時のポリシーには、すべてのビルド時のポリシー基準を含めることができます。また、特権モードでの実行や Docker デーモンソケットのマウントなど、クラスター設定からのデータを取得することもできます。
   • ランタイムポリシーには、すべてのビルド時とデプロイ時のポリシー基準、およびランタイム中のプロセス実行に関するデータを含めることができます。
6. Description、Rationale、および Remediation フィールドにポリシーに関する情報を入力します。CI がビルドを検証すると、これらのフィールドのデータが表示されます。したがって、ポリシーを説明するすべての情報を含めてください。
7. Categories ドロップダウンメニューからカテゴリーを選択します。

8. このポリシーの違反が発生したときにアラート通知を受信する通知ドロップダウンメニューから Notifications 機能を選択します。

   注記

   アラート通知を受信するには、RHACS を Webhook、Jira、PagerDuty などの通知プロバイダーと統合する必要があります。通知プロバイダーを RHACS に統合している場合にのみ、通知が表示されます。

9. 特定のクラスター、namespace、またはラベルに対してのみこのポリシーを有効にするには、Restrict to Scope を使用します。複数のスコープを追加したり、namespaces とラベルの RE2 構文で正規表現を使用したりすることもできます。
10. Exclude by Scope を使用して、デプロイメント、クラスター、namespaces、およびラベルを除外します。このフィールドは、指定したエンティティーにポリシーが適用されないことを示します。複数のスコープを追加したり、namespaces とラベルの RE2 構文で正規表現を使用したりすることもできます。ただし、デプロイメントの選択に正規表現を使用することはできません。

11. 除外されたイメージ (ビルドライフサイクルのみ) の場合、ポリシーの違反をトリガーしたくないすべてのイメージをリストから選択します。

    注記

    除外されたイメージ (ビルドライフサイクルのみ) 設定は、継続的インテグレーションシステム (ビルドライフサイクルステージ) でイメージをチェックする場合にのみ適用されます。このポリシーを使用して、実行中のデプロイメント (デプロイライフサイクルステージ) またはランタイムアクティビティー (ランタイムライフサイクルステージ) をチェックする場合、効果はありません。

12. Policy Criteria セクションで、ポリシーをトリガーする属性を設定します。
13. パネルヘッダーで Next を選択します。
14. 新しいポリシーパネルには、ポリシーを有効にした場合にトリガーされる違反のプレビューが表示されます。
15. パネルヘッダーで Next を選択します。

16. ポリシーの適用動作を選択します。適用設定は、Lifecycle Stages オプションで選択したステージでのみ使用できます。ポリシーを適用して違反を報告するには、ON を選択します。違反のみを報告するには、OFF を選択します。

    注記

    適用の振る舞いは、ライフサイクルの各ステージで異なります。

    • Build ステージでは、イメージがポリシーの条件に一致すると、RHACS は CI ビルドを失敗します。

    • Deploy 段階では、RHACS アドミッションコントローラーが設定され実行されている場合、RHACS はポリシーの条件に一致するデプロイメントの作成と更新をブロックします。

      • アドミッションコントローラーが適用されているクラスターでは、Kubernetes または OpenShift Container Platform サーバーがすべての非準拠のデプロイメントをブロックします。他のクラスターでは、RHACS は準拠していないデプロイメントを編集して、Pod がスケジュールされないようにします。
      • 既存のデプロイメントの場合、ポリシーの変更は、Kubernetes イベントが発生したときに、基準が次に検出されたときにのみ適用されます。適用の詳細は、「デプロイステージのセキュリティーポリシーの適用」を参照してください。
    • Runtime ステージでは、RHACS はポリシーの条件に一致するすべての Pod を停止します。
    警告

    ポリシーの適用は、実行中のアプリケーションまたは開発プロセスに影響を与える可能性があります。適用オプションを有効にする前に、すべての利害関係者に通知し、自動適用アクションに対応する方法を計画してください。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Image Integration セクションで、強調表示された Registry タイルを探します。タイルには、そのタイルにすでに設定されているアイテムの数も表示されます。

手順

1. 認証トークンを生成したら、次のコマンドを入力して、ROX_API_TOKEN 変数としてエクスポートします。

   $ export ROX_API_TOKEN=<api_token>

2. (オプション): 次のコマンドを入力して、トークンをファイルに保存し、--token-file オプションとともに使用することもできます。

   $ roxctl central debug dump --token-file <token_file>

手順

1. registry.redhat.io レジストリーにログインします。

   $ docker login registry.redhat.io

2. roxctl CLI の最新のコンテナーイメージをプルします。

   $ docker pull registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:4.7.2

手順

1. CircleCI にログインして、既存のプロジェクトを開くか、新しいプロジェクトを作成します。
2. Project Settings をクリックします。
3. Environment variables をクリックします。

4. 変数の Add variable をクリックして、次の 3 つの環境変数を作成します。

   • Name: STACKROX_CENTRAL_HOST - Central の DNS 名または IP アドレス。
   • Name: ROX_API_TOKEN - Red Hat Advanced Cluster Security for Kubernetes にアクセスするための API トークン。
   • Name: DOCKERHUB_PASSWORD - Docker Hub アカウントのパスワード。
   • Name: DOCKERHUB_USER - Docker Hub アカウントのユーザー名。
5. CircleCI 設定ファイルがまだない場合は、選択したプロジェクトのローカルコードリポジトリーのルートディレクトリーに .circleci というディレクトリーを作成します。

6. .circleci ディレクトリーの次の行に config.yml 設定ファイルを作成します。

   version: 2
   jobs:
     check-policy-compliance:
       docker:
         - image: 'circleci/node:latest'
           auth:
             username: $DOCKERHUB_USER
             password: $DOCKERHUB_PASSWORD
       steps:
         - checkout
         - run:
             name: Install roxctl
             command: |
                 curl -H "Authorization: Bearer $ROX_API_TOKEN" https://$STACKROX_CENTRAL_HOST:443/api/cli/download/roxctl-linux -o roxctl && chmod +x ./roxctl
         - run:
             name: Scan images for policy deviations and vulnerabilities
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_registry/repo/image_name>" 1
         - run:
             name: Scan deployment files for policy deviations
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_deployment_file>" 2
                 # Important note: This step assumes the YAML file you'd like to test is located in the project.
   workflows:
     version: 2
     build_and_test:
       jobs:
         - check-policy-compliance

   1

   <your_registry/repo/image_name> をレジストリーとイメージパスに置き換えます。

   2

   <your_deployment_file> をデプロイメントファイルへのパスに置き換えます。

   注記

   リポジトリーに CircleCI の config.yml ファイルがすでにある場合は、既存の設定ファイルに指定された詳細を含む新しいジョブセクションを追加します。

7. 設定ファイルをリポジトリーにコミットした後、CircleCI ダッシュボードの Jobs キューに移動して、ビルドポリシーの適用を確認します。

手順

1. 受信 Webhook を設定した後、デプロイメント YAML ファイルに次のようなアノテーションを追加します。

   example.com/slack-webhook: https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX

2. Red Hat Advanced Cluster Security for Kubernetes を設定するときは、Label/Annotation Key For Slack Webhook フィールドでアノテーションキー example.com/slack-webhook を使用します。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. External backups セクションで、Google Cloud Storage をクリックします。
3. バックアップを実行する GCS バケットの統合名を選択します。
4. Trigger Backup をクリックします。

手順

1. Splunk ダッシュボードで、Settings → Add Data に移動します。
2. Monitor をクリックします。
3. Add Data ページで、HTTP Event Collector をクリックします。
4. イベントコレクターの Name を入力し、Next > をクリックします。
5. デフォルトの Input Settings を受け入れて、Review > をクリックします。
6. イベントコレクターのプロパティーを確認し、Submit > をクリックします。
7. イベントコレクターの Token Value をコピーします。このトークン値は、Red Hat Advanced Cluster Security for Kubernetes で Splunk との統合を設定するために必要です。

手順

1. RHACS ポータルで、Platform Configuration → Integrations に移動します。
2. Notifier Integrations セクションまでスクロールダウンし、Splunk を選択します。
3. New Integration (add アイコン) をクリックします。
4. Integration Name の名前を入力します。
5. Splunk URL を HTTP Event Collector URL フィールドに入力します。HTTPS の場合は 443、HTTP の場合は 80 でない場合は、ポート番号を指定する必要があります。また、URL の最後に URL パス /services/collector/event を追加する必要があります。たとえば、https://<splunk-server-path>:8088/services/collector/event です。

6. HTTP Event Collector Token フィールドにトークンを入力します。

   注記

   Red Hat Advanced Cluster Security for Kubernetes バージョン 3.0.57 以降を使用している場合は Source Type for Alert イベントと Source Type for Audit イベントのソースタイプを指定できます。

7. Test を選択してテストメッセージを送信し、Splunk との統合が機能していることを確認します。
8. Create を選択して設定を生成します。

手順

1. RHACS ポータルで、Platform Configuration → Policy Management に移動します。
2. アラートの送信先となるポリシーを 1 つ以上選択します。
3. Bulk actions で Enable notification を選択します。

4. Enable notification ウィンドウで、Splunk 通知機能を選択します。

   注記

   他の統合を設定していない場合、システムは通知機能が設定されていないメッセージが表示します。

5. Enable をクリックします。

手順

1. Red Hat Advanced Cluster Security for Kubernetes アドオンを Splunkbase からダウンロードします。
2. Splunk インスタンスの Splunk ホームページに移動します。
3. Apps → Manage Apps に移動します。
4. Install app from file を選択します。
5. Upload app ポップアップボックスで、Choose File を選択し、Red Hat Advanced Cluster Security for Kubernetes アドオンファイルを選択します。
6. Upload をクリックします。
7. Restart Splunk をクリックし、再起動することを確認します。
8. Splunk が再起動したら、Apps メニューから Red Hat Advanced Cluster Security for Kubernetes を選択します。

9. Configuration に移動し、Add-on Settings をクリックします。

   1. Central Endpoint には、Central インスタンスの IP アドレスまたは名前を入力します。たとえば、central.custom:443 です。
   2. アドオン用に生成した API token を入力します。
   3. Save をクリックします。
10. Inputs に移動します。

11. Create New Input をクリックし、次のいずれかを選択します。

    • コンプライアンスデータを取得する ACS Compliance
    • 違反データを取得する ACS Violations
    • 脆弱性データを取得する ACS Vulnerability Management
12. 入力の Name を入力します。
13. Red Hat Advanced Cluster Security for Kubernetes からデータをプルする Interval を選択します。たとえば、14400 秒ごと。
14. データの送信先となる Splunk Index を選択します。
15. Central Endpoint には、Central インスタンスの IP アドレスまたは名前を入力します。
16. アドオン用に生成した API token を入力します。
17. Add をクリックします。

手順

1. 更新通知で Update をクリックします。
2. 利用規約に同意するためのチェックボックスを選択し、Accept and Continue をクリックして更新をインストールします。
3. インストール後、Apps メニューから Red Hat Advanced Cluster Security for Kubernetes を選択します。

4. Configuration に移動し、Add-on Settings をクリックします。

   1. アドオン用に生成した API token を入力します。
   2. Save をクリックします。

手順

1. namespace またはデプロイメント YAML ファイルに次の例のようなアノテーションを追加します。

   annotations:
   # ...
     jira/project-key: <jira_project_key>
   # ...

2. Red Hat Advanced Cluster Security for Kubernetes を設定するときは、Annotation key for project フィールドでアノテーションキー jira/project-key を使用します。

手順

1. Red Hat Advanced Cluster Security for Kubernetes で Jira 統合を設定しているときに、Priority Mapping トグルをオンにします。Red Hat Advanced Cluster Security for Kubernetes は JIRA プロジェクトスキーマを取得し、CRITICAL_SEVERITY、HIGH_SEVERITY、MEDIUM_SEVERITY、および LOW_SEVERITY フィールドの値を自動入力します。
2. JIRA プロジェクト設定に基づいて、プライオリティーの値を確認または更新します。
3. Test を選択して、Jira との統合が機能していることをテストします。
4. Create を選択して設定を生成します。

手順

1. Platform Configuration → Integrations に移動します。
2. Notifier Integrations セクションで、Email を選択します。
3. New Integration を選択します。
4. Integration Name フィールドに、メール統合の名前を入力します。
5. Email server フィールドに、メールサーバーのアドレスを入力します。メールサーバーアドレスには、完全修飾ドメイン名 (FQDN) とポート番号が含まれます (例: smtp.example.com:465)。

6. オプション: 非認証 SMTP を使用している場合は、Enable unauthenticated SMTP を選択します。これは安全ではなく、推奨されませんが、インテグレーションによっては必要になる場合があります。たとえば、認証を必要としない通知に内部サーバーを使用する場合、このオプションを有効にする必要がある場合があります。

   注記

   認証を使用する既存のメール統合を変更して、非認証 SMTP を有効にすることはできません。既存の統合を削除し、Enable unauthenticated SMTP を選択して新しい統合を作成する必要があります。

7. 認証に使用するサービスアカウントのユーザー名とパスワードを入力します。
8. オプション: メール通知の FROM ヘッダーに表示する名前を From フィールドに入力します。たとえば、Security Alerts などです。
9. メール通知の SENDER ヘッダーに表示するメールアドレスを Sender フィールドに指定します。
10. Default recipient フィールドに、通知を受信するメールアドレスを指定します。

11. オプション: Annotation key for recipient にアノテーションキーを入力します。アノテーションを使用すると、メールの受信者を動的に決定できます。これを実行するには、以下を行います。

    1. namespace またはデプロイメント YAML ファイルに次の例のようなアノテーションを追加します。email は、メール統合で指定する Annotation key です。デプロイメントまたは namespace の注釈を作成できます。

       annotations:
         email: <email_address>

    2. Annotation key for recipient フィールドにアノテーションキーの email を使用します。

       アノテーションを使用してデプロイメントまたは namespace を設定した場合、RHACS はアノテーションで指定されたメールアドレスにアラートを送信します。それ以外の場合は、デフォルトの受信者にアラートを送信します。

       注記

       RHACS がメール通知の受信者を決定する仕組みは、次のルールによって制御されます。

       • デプロイメントにアノテーションキーがある場合、アノテーションの値がデフォルト値をオーバーライドします。
       • namespace にアノテーションキーがある場合、namespace の値がデフォルト値をオーバーライドします。
       • デプロイメントにアノテーションキーと定義済みの対象者がある場合、RHACS はキーで指定された対象者にメールを送信します。
       • デプロイメントにアノテーションキーがない場合、RHACS は namespace でアノテーションキーを確認し、指定された対象者にメールを送信します。
       • アノテーションキーが存在しない場合、RHACS はデフォルトの受信者にメールを送信します。

12. オプション: Disable TLS certificate validation (insecure) を選択して、TLS を使用せずにメールを送信します。StartTLS を使用していない限り、TLS を無効にしないでください。

    注記

    メール通知には TLS を使用します。TLS がないと、すべてのメールは暗号化されずに送信されます。

13. オプション: StartTLS を使用するには、Use STARTTLS (requires TLS to be disabled) ドロップダウンメニューで Login または Plain を選択します。

    重要

    StartTLS を使用すると、セッションの暗号化が確立される前に、クレデンシャルがプレーンテキストでメールサーバーに渡されます。

    • login パラメーターを指定した StartTLS は、base64 でエンコードされた文字列で認証クレデンシャルを送信します。
    • Plain パラメーターを指定した StartTLS は、認証クレデンシャルをプレーンテキストでメールリレーに送信します。

手順

1. RHACS ポータルで、Platform Configuration → Policy Management に移動します。
2. アラートの送信先となるポリシーを 1 つ以上選択します。
3. Bulk actions で Enable notification を選択します。

4. Enable notification ウィンドウで、Email 通知機能を選択します。

   注記

   他の統合を設定していない場合、システムは通知機能が設定されていないメッセージが表示します。

5. Enable をクリックします。

手順

1. Platform Configuration → Integrations に移動します。
2. Notifier Integrations セクションで、RHACS Cloud Service Email を選択します。
3. New Integration を選択します。
4. Integration Name フィールドに、メール統合の名前を入力します。
5. Default recipient フィールドに、メール通知を送信するメールアドレスを指定します。

6. オプション: Annotation key for recipient にアノテーションキーを入力します。アノテーションを使用すると、メールの受信者を動的に決定できます。これを実行するには、以下を行います。

   1. namespace またはデプロイメント YAML ファイルに次の例のようなアノテーションを追加します。email は、メール統合で指定する Annotation key です。デプロイメントまたは namespace の注釈を作成できます。

      annotations:
        email: <email_address>

   2. Annotation key for recipient フィールドにアノテーションキーの email を使用します。

手順

1. RHACS ポータルで、Platform Configuration → Policy Management に移動します。
2. アラートの送信先となるポリシーを 1 つ以上選択します。
3. Bulk actions で Enable notification を選択します。

4. Enable notification ウィンドウで、RHACS Cloud Service Email 通知機能を選択します。

   注記

   他の統合を設定していない場合、システムは通知機能が設定されていないメッセージが表示します。

5. Enable をクリックします。

手順

1. 次のコマンドを実行して、EKS クラスターの IAM OpenID Connect (OIDC) プロバイダーを有効にします。

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster_name> --approve

2. EKS クラスターの IAM ロールを作成し ます。

3. ロールの権限ポリシーを編集し、統合に必要な権限を付与します。以下に例を示します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 引き受けるロールの信頼関係を更新します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role_name>" 1
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   1

   <role_name> は、前の手順で作成した新しいロールと一致している必要があります。

5. 次のコマンドを入力して、新しく作成したロールをサービスアカウントに関連付けます。

   $ oc -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role_name> 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

6. 次のコマンドを入力して Central Pod を再起動し、変更を適用します。

   $ oc -n stackrox delete pod -l "app in (central,sensor)" 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

手順

1. Creating OpenID Connect (OIDC) identity providers の手順に従って、OpenShift Container Platform クラスターの Web アイデンティティーを作成します。openshift を Audience の値として使用します。
2. OpenShift Container Platform クラスターの Web アイデンティティー用の IAM ロールを作成 します。

3. ロールの権限ポリシーを編集し、統合に必要な権限を付与します。以下に例を示します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 引き受けるロールの信頼関係を更新します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "<oidc_provider_arn>"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "<oidc_provider_name>:aud": "openshift"
                   }
               }
           }
       ]
   }

5. Central または Sensor デプロイメントで次の RHACS 環境変数を設定します。

   AWS_ROLE_ARN=<role_arn>
   AWS_WEB_IDENTITY_TOKEN_FILE=/var/run/secrets/openshift/serviceaccount/token

手順

1. Google Cloud Platform ドキュメントの手順に従って、GKE 用 Workload Identity 連携を使用 します。

2. 次のコマンドを実行して、RHACS サービスアカウントにアノテーションを付けます。

   $ oc annotate serviceaccount \ 1
       central \ 2
       --namespace stackrox \
       iam.gke.io/gcp-service-account=<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

   2

   スキャン委譲を設定する場合は、central の代わりに sensor を使用します。

手順

1. Manage workload identity pools の手順に従って、Workload Identity プールを作成します。以下に例を示します。

   $ gcloud iam workload-identity-pools create rhacs-pool \
       --location="global" \
       --display-name="RHACS workload pool"

2. Manage workload identity pool providers の手順に従って、Workload Identity プロバイダーを作成します。以下に例を示します。

   $ gcloud iam workload-identity-pools providers create-oidc rhacs-provider \
       --location="global" \
       --workload-identity-pool="rhacs-pool" \
       --display-name="RHACS provider" \
       --attribute-mapping="google.subject=assertion.sub" \
       --issuer-uri="https://<oidc_configuration_url>" \
       --allowed-audiences=openshift

3. Google サービスアカウントを Workload Identity プールに接続します。以下に例を示します。

   $ gcloud iam service-accounts add-iam-policy-binding <GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com \
       --role roles/iam.workloadIdentityUser \
       --member="principal://iam.googleapis.com/projects/<GSA_PROJECT_NUMBER>/locations/global/workloadIdentityPools/rhacs-provider/subject/system:serviceaccount:stackrox:central" 1

   1

   スキャン委譲を設定する場合は、サブジェクトを system:serviceaccount:stackrox:sensor に設定します。

4. Security Token Service (STS) 設定を含むサービスアカウント JSON を作成します。以下に例を示します。

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/projects/<GSA_PROJECT_ID>/locations/global/workloadIdentityPools/rhacs-pool/providers/rhacs-provider",
     "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
     "token_url": "https://sts.googleapis.com/v1/token",
     "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com:generateAccessToken",
     "credential_source": {
       "file": "/var/run/secrets/openshift/serviceaccount/token",
       "format": {
         "type": "text"
       }
     }
   }

5. サービスアカウントの JSON を RHACS namespace へのシークレットとして使用します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: gcp-cloud-credentials
     namespace: stackrox
   data:
     credentials: <base64_encoded_json>

手順

1. 外部 IdP と、Microsoft Entra ID 内のユーザーが割り当てたマネージドアイデンティティーまたはアプリケーションとの間に信頼関係を作成します。

   詳細は、Workload Identity Federation (Microsoft Azure ドキュメント) を参照してください。

2. 次のコマンドを実行して、RHACS サービスアカウントにアノテーションを付けます。

   $ oc annotate serviceaccount \1
       central \2
       --namespace stackrox \
       azure.workload.identity/client-id=<CLIENT_ID> 3

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

   2

   スキャン委譲を設定する場合は、central の代わりに sensor を使用します。

   3

   関連付けられたアイデンティティーのクライアント ID を入力します。

   出力例

   serviceaccount/central annotated