9.3. roxctl CLI を使用した RHACS Cloud Service でのセキュアクラスターの手動アップグレード

手順

1. ターゲットのオペレーティングシステムの roxctl アーキテクチャーを確認します。

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.7.8/bin/Linux/roxctl${arch}"

3. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

4. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

手順

1. ターゲットのオペレーティングシステムの roxctl アーキテクチャーを確認します。

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.7.8/bin/Darwin/roxctl${arch}"

3. バイナリーからすべての拡張属性を削除します。

   $ xattr -c roxctl

4. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

5. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

手順

1. Sensor イメージを更新します。

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.8

2. Compliance イメージを更新します。

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.8

3. Collector イメージを更新します。

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.7.8

4. アドミッションコントロールイメージを更新します。

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.8

   重要

   roxctl CLI を使用して Red Hat OpenShift に RHACS をインストールした場合は、Security Context Constraints (SCC) を移行する必要があります。

   詳細は、「関連情報」セクションの「手動アップグレード中の SCC の移行」を参照してください。

手順

1. すべてのセキュアクラスターにデプロイされているすべての RHACS サービスをリスト表示します。

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   出力例

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   この例では、各 Pod に独自のカスタム SCC があり、openshift.io/scc フィールドで指定されていることがわかります。

2. RHACS のカスタム SCC の代わりに Red Hat OpenShift SCC を使用するには、必要なロールとロールバインディングを追加します。

3. すべてのセキュアクラスターで Red Hat OpenShift SCC を使用するために必要なロールとロールバインディングを追加するには、次の手順を実行します。

   1. 次の内容を使用して、ロールリソースとロールバインディングリソースを定義する upgrade-scs.yaml という名前のファイルを作成します。

      例9.1 サンプル YAML ファイル

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  #
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  #
        namespace: stackrox #
      rules:  #
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding #
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc #
        namespace: stackrox
      roleRef: #
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: #
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      各項目の説明:

      kind: Role

      Kubernetes リソースのタイプを指定します。この例では Role です。

      metadata.name: <rolename>

      ロールリソースの名前を指定します。

      metadata.namespace

      ロールが作成される namespace を指定します。

      ルール

      ロールリソースによって付与されるパーミッションを指定します。

      kind: RoleBinding

      Kubernetes リソースのタイプを指定します。この例では RoleBinding です。

      metadata.name: <rolebindingname>

      ロールバインディングリソースの名前を指定します。

      metadata.roleRef

      同じ namespace 内のバインドするロールを指定します。

      metadata.subjects

      ロールにバインドするサブジェクトを指定します。

   2. 次のコマンドを実行して、upgrade-scs.yaml ファイルで指定したロールリソースとロールバインディングリソースを作成します。

      $ oc -n stackrox create -f ./update-scs.yaml

      重要

      upgrade-scs.yaml ファイルで指定したロールとロールバインディングを作成するには、各セキュアクラスターでこのコマンドを実行する必要があります。

4. RHACS に固有の SCC を削除します。

   1. すべてのセキュアクラスターに固有の SCC を削除するには、次のコマンドを実行します。

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      重要

      各セキュアクラスターに固有の SCC を削除するには、各セキュアクラスターでこのコマンドを実行する必要があります。