インストール

手順

1. Web コンソールで、Operators → OperatorHub ページに移動します。
2. Red Hat Advanced Cluster Security for Kubernetes が表示されない場合は、Filter by keyword ボックスに Advanced Cluster Security と入力して、Red Hat Advanced Cluster Security for Kubernetes Operator を検索します。
3. 詳細ページを表示するには、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。
4. Operator に関する情報を読み、Install をクリックします。

5. Install Operator ページで以下を行います。

   • Installation mode のデフォルト値を All namespaces on the cluster として保持します。
   • Installed namespace フィールドの Operator をインストールする特定の namespace を選択します。Red Hat Advanced Cluster Security for Kubernetes Operator を rhacs-operator namespace にインストールします。

   • Update approval には、自動更新または手動更新を選択します。

     自動更新を選択した場合、Operator の新しいバージョンが利用可能になると、Operator Lifecycle Manager (OLM) は Operator の実行中のインスタンスを自動的にアップグレードします。

     手動による更新を選択する場合は、新しいバージョンの Operator が利用可能になると、OLM は更新リクエストを作成します。クラスター管理者は、更新リクエストを手動で承認して、Operator を最新バージョンに更新する必要があります。

     重要

     手動更新を選択した場合、Central がインストールされているクラスターで RHACS Operator を更新するときに、すべてのセキュアクラスターで RHACS Operator を更新する必要があります。最適な機能を確保するには、セキュアクラスターと Central がインストールされているクラスターのバージョンが同じである必要があります。

6. Install をクリックします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   注記
   • Operator を別の namespace にインストールした場合、OpenShift Container Platform は rhacs-operator の代わりにその namespace の名前を表示します。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat は、プロジェクト名として stackrox を使用することを推奨します。
5. Provided APIs セクションで、Central を選択します。Create Central をクリックします。

6. オプション: 宣言型設定を使用している場合は、次の方法で Configure via: の横にある YAML view をクリックし、次の例に示すように宣言型設定の情報を追加します。

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: "<declarative-configs>" 

   1

   
         secrets:
         - name: "<sensitive-declarative-configs>" 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   <declarative-configs> を、使用している設定マップの名前に置き換えます。

   2

   <sensitive-declarative-configs> を、使用しているシークレットの名前に置き換えます。

7. Central カスタムリソースの名前を入力し、適用するラベルを追加します。それ以外の場合は、使用可能なオプションのデフォルト値を受け入れます。

8. Central で使用可能なオプションを設定できます。

   • Central コンポーネントの設定:

     Expand

     設定	説明
     Administrator password	管理者パスワードを含むシークレット。RHACS にパスワードを生成させない場合は、このフィールドを使用します。
     Exposure	ルート、ロードバランサー、またはノードポートを使用して Central を公開するための設定。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで central.exposure.<parameter> の情報を参照してください。
     User-facing TLS certificate secret	Central で TLS を終端し、カスタムサーバー証明書を提供する場合は、このフィールドを使用します。
     Monitoring	Central のモニタリングエンドポイントを設定します。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで central.exposeMonitoring パラメーターを参照してください。
     Central DB Settings	データの永続性を含む、Central DB の設定。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで central.db.<parameter> の情報を参照してください。
     Resources	メモリーと CPU リソースのデフォルト設定をオーバーライドする必要がある場合は、ドキュメントを参照した後で、これらのフィールドを使用してください。詳細は、「インストール」の章の「RHACS のデフォルトのリソース要件」および「RHACS の推奨されるリソース要件」セクションを参照してください。
     Tolerations	このパラメーターは、Central を特定のノードでのみ実行するように設定するために使用します。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで central.tolerations パラメーターを参照してください。
     Host Aliases	このパラメーターを使用して、Pod のホストファイルで解決する追加のホスト名を設定します。

     Show more
   • スキャナーコンポーネント設定: StackRox Scanner の設定。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで「Scanner」の表を参照してください。

   • Scanner V4 コンポーネント設定: デフォルトのスキャナーである Scanner V4 スキャナーの設定。「Red Hat OpenShift に RHACS の Central サービスをインストールする」の「パブリック設定ファイル」セクションで「Scanner V4」の表を参照してください。

     Scanner V4 では次のオプションを設定できます。

     Expand

     設定	説明
     Indexer	イメージのインデックスを作成し、スキャン結果のレポートを作成するプロセス。レプリカと自動スケーリング、リソース、toleration を設定できます。デフォルトのリソース値を変更する前に、「インストール」の章の「RHACS のデフォルトのリソース要件」および「RHACS の推奨されるリソース要件」セクションにある「Scanner V4」セクションを参照してください。
     Matcher	Indexer からのレポートと、Scanner V4 DB に保存されている脆弱性データとの脆弱性照合を実行するプロセス。レプリカと自動スケーリング、リソース、toleration を設定できます。デフォルトのリソース値を変更する前に、「インストール」の章の「RHACS のデフォルトのリソース要件」および「RHACS の推奨されるリソース要件」セクションにある「Scanner V4」セクションを参照してください。
     DB	脆弱性データやインデックスレポートなど、Scanner V4 の情報を保存するデータベース。永続性、リソース、toleration を設定できます。Scanner V4 を使用している場合は、Central クラスターに永続ボリューム要求 (PVC) が必要です。最良の結果を得るには、セキュアクラスターで PVC を使用することを強く推奨します。デフォルトのリソース値を変更する前に、「インストール」の章の「RHACS のデフォルトのリソース要件」および「RHACS の推奨されるリソース要件」セクションにある「Scanner V4」セクションを参照してください。

     Show more
   • Egress: RHACS をオンライン (接続) モードで実行するかオフライン (非接続) モードで実行するかなど、送信ネットワークトラフィックの設定。
   • TLS: このフィールドは、信頼できるルート認証局 (CA) を追加するために使用します。

   • network: ネットワークレベルでセキュリティーを確保するために、RHACS は Central がインストールされている namespace にデフォルトの NetworkPolicy リソースを作成します。独自のネットワークポリシーを作成および管理するには、policies セクションで Disabled を選択します。デフォルトでは、このオプションが Enabled になっています。

     警告

     デフォルトのネットワークポリシーの作成を無効にすると、RHACS コンポーネント間の通信が切断される可能性があります。デフォルトポリシーの作成を無効にする場合は、この通信を許可するために独自のネットワークポリシーを作成する必要があります。

   • Advanced configuration: このフィールドを使用すると、次の操作を実行できます。

     • 追加のイメージプルシークレットを指定する
     • マネージド Pod のコンテナーに設定するカスタム環境変数を追加する
     • Red Hat OpenShift のモニタリングを有効にする
9. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
4. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. 新しいユーザーを作成します。

   CREATE USER stackrox WITH PASSWORD <password>;

   Copy to Clipboard Toggle word wrap

2. データベースを作成します。

   CREATE DATABASE stackrox;

   Copy to Clipboard Toggle word wrap

3. データベースに接続します。

   \connect stackrox

   Copy to Clipboard Toggle word wrap

4. ユーザースキーマを作成します。

   CREATE SCHEMA stackrox;

   Copy to Clipboard Toggle word wrap

5. (オプション) パブリックでの権限を取り消します。

   REVOKE CREATE ON SCHEMA public FROM PUBLIC;
   REVOKE USAGE ON SCHEMA public FROM PUBLIC;
   REVOKE ALL ON DATABASE stackrox FROM PUBLIC;

   Copy to Clipboard Toggle word wrap

6. ロールを作成します。

   CREATE ROLE readwrite;

   Copy to Clipboard Toggle word wrap

7. ロールへの接続権限を付与します。

   GRANT CONNECT ON DATABASE stackrox TO readwrite;

   Copy to Clipboard Toggle word wrap

8. 必要な権限を readwrite ロールに追加します。

   GRANT USAGE ON SCHEMA stackrox TO readwrite;
   GRANT USAGE, CREATE ON SCHEMA stackrox TO readwrite;
   GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO readwrite;
   GRANT USAGE ON ALL SEQUENCES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT USAGE ON SEQUENCES TO readwrite;

   Copy to Clipboard Toggle word wrap

9. readwrite ロールを stackrox ユーザーに割り当てます。

   GRANT readwrite TO stackrox;

   Copy to Clipboard Toggle word wrap

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat では、Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースを専用プロジェクトにインストールすることを推奨しています。Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにはインストールしないでください。さらに、kube、openshift、redhat で始まる名前のプロジェクトや istio-system プロジェクトにはインストールしないでください。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat は、プロジェクト名として stackrox を使用することを推奨します。

5. OpenShift Container Platform Web コンソールまたはターミナルを使用して、デプロイされた namespace にパスワードシークレットを作成します。

   • OpenShift Container Platform Web コンソールで、Workloads → Secrets ページに移動します。キー password、およびプロビジョニングされたデータベースのスーパーユーザーのパスワードを含むプレーンテキストファイルのパスとしての値を使用して、キー/値のシークレット を作成します。

   • または、ターミナルで次のコマンドを実行します。

     $ oc create secret generic external-db-password \

     1

     
       --from-file=password=<password.txt> 

     2

     Copy to Clipboard Toggle word wrap

     1

     Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

     2

     password.txt をプレーンテキストのパスワードが含まれるファイルのパスに置き換えます。

6. OpenShift Container Platform Web コンソールの Red Hat Advanced Cluster Security for Kubernetes Operator ページに戻ります。Provided APIs セクションで、Central を選択します。Create Central をクリックします。
7. オプション: 宣言型設定を使用している場合は、Configure via: の横にある YAML view をクリックします。

8. 次の例に示すように、宣言型設定の情報を追加します。

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: <declarative-configs> 

   1

   
         secrets:
         - name: <sensitive-declarative-configs> 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   <declarative-configs> を、使用している設定マップの名前に置き換えます。

   2

   <sensitive-declarative-configs> を、使用しているシークレットの名前に置き換えます。

9. Central カスタムリソースの名前を入力し、適用するラベルを追加します。
10. Central Component Settings → Central DB Settings に移動します。
11. Administrator Password には、参照されるシークレットを external-db-password (または以前に作成したパスワードのシークレット名) として指定します。
12. Connection String には、keyword=value 形式で接続文字列を指定します。たとえば、host=<host> port=5432 database=stackrox user=stackrox sslmode=verify-ca です。
13. Persistence → PersistentVolumeClaim → Claim Name の場合は、central-db を削除します。

14. 必要に応じて、データベース証明書と Central の間に信頼関係が確立されるように、認証局を指定できます。これを追加するには、次の例に示すように、YAML ビューに移動し、最上位仕様の下に TLS ブロックを追加します。

    spec:
      tls:
        additionalCAs:
        - name: db-ca
          content: |
            <certificate>

    Copy to Clipboard Toggle word wrap
15. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
4. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。
3. Central タブを選択します。
4. Centrals リストから、stackrox-central-services を選択して詳細を表示します。

5. admin ユーザーのパスワードを取得するには、以下のいずれかを行います。

   • Admin Password Secret Reference のリンクをクリックします。

   • Red Hat OpenShift CLI を使用して、Admin Credentials Info にリストされているコマンドを入力します。

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

     Copy to Clipboard Toggle word wrap

6. Red Hat OpenShift CLI コマンドを使用して、RHACS ポータルへのリンクを見つけます。

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   Copy to Clipboard Toggle word wrap

   または、Red Hat Advanced Cluster Security for Kubernetes Web コンソールを使用して、次のコマンドを実行することにより、RHACS ポータルへのリンクを見つけることができます。

   1. Networking → Routes をクリックします。
   2. central ルートを見つけて、Location 列の下にある RHACS ポータルリンクをクリックします。
7. ユーザー名 admin と、前の手順で取得したパスワードを使用して、RHACS ポータルにログインします。RHACS の設定が完了するまで (たとえば、Central リソースと少なくとも 1 つの SecuredCluster リソースをインストールして設定する)、ダッシュボードでデータを使用できません。SecuredCluster リソースは、Central リソースと同じクラスターにインストールおよび設定できます。SecuredCluster リソースを備えたクラスターは、Red Hat Advanced Cluster Management (RHACM) のマネージドクラスターに似ています。

次のステップ

1. オプション: central 設定を設定します。
2. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルまたは CRS を生成します。このファイルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
3. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     --reuse-values \

   1

   
     -f <path_to_init_bundle_file \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap

   1

   values_public.yaml ファイルと values_private.yaml ファイルに含まれていない値を変更した場合は、--reuse-values パラメーターを含めます。

手順

1. 対話型インストールコマンドを実行します。

   $ roxctl central generate interactive

   Copy to Clipboard Toggle word wrap
   重要

   roxctl CLI を使用して RHACS をインストールすると、下位互換性のためにデフォルトで PodSecurityPolicy (PSP) オブジェクトが作成されます。RHACS を Kubernetes バージョン 1.25 以降または OpenShift Container Platform バージョン 4.12 以降にインストールする場合、PSP オブジェクトの作成を無効にする必要があります。これを行うには、roxctl central generate コマンドと roxctl sensor generate コマンドで --enable-pod-security-policies オプションを false に指定します。

2. Enter を押してプロンプトのデフォルト値を受け入れるか、必要に応じてカスタム値を入力します。次の例は、対話型インストーラーのプロンプトを示しています。

   Path to the backup bundle from which to restore keys and certificates (optional):
   PEM cert bundle file (optional): 

   1

   
   Disable the administrator password (only use this if you have already configured an IdP for your instance) (default: "false"):
   Create PodSecurityPolicy resources (for pre-v1.25 Kubernetes) (default: "false"): 

   2

   
   Administrator password (default: autogenerated):
   Orchestrator (k8s, openshift):
   Default container images settings (rhacs, opensource); it controls repositories from where to download the images, image names and tags format (default: "rhacs"):
   The directory to output the deployment bundle to (default: "central-bundle"):
   Whether to enable telemetry (default: "true"):
   The central-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.6.0"):
   List of secrets to add as declarative configuration mounts in central (default: "[]"): 

   3

   
   The method of exposing Central (lb, np, none) (default: "none"): 

   4

   
   The main image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.6.0"):
   Whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   List of config maps to add as declarative configuration mounts in central (default: "[]"): 

   5

   
   The deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   The scanner-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.6.0"):
   The scanner image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-rhel8:4.6.0"):
   The scanner-v4-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-v4-db-rhel8:4.6.0"):
   The scanner-v4 image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-v4-rhel8:4.6.0"):
   External volume type (hostpath, pvc): hostpath
   Path on the host (default: "/var/lib/stackrox-central"):
   Node selector key (e.g. kubernetes.io/hostname):
   Node selector value:

   Copy to Clipboard Toggle word wrap

   1

   カスタム TLS 証明書を追加する場合は、PEM でエンコードされた証明書のファイルパスを指定します。カスタム証明書を指定すると、対話型インストーラーは、使用しているカスタム証明書の PEM 秘密鍵を提供するように要求します。

   2

   Kubernetes バージョン 1.25 以降を実行している場合は、この値を false に設定します。

   3

   認証と認可に宣言型設定を使用する方法の詳細は、「Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理」の「認証および認可リソースの宣言型設定」を参照してください。

   4

   RHACS ポータルを使用するには、ルート、ロードバランサー、またはノードポートを使用して Central を公開する必要があります。

   5

   認証と認可に宣言型設定を使用する方法の詳細は、「Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理」の「認証および認可リソースの宣言型設定」を参照してください。

   警告

   OpenShift Container Platform で、hostPath ボリュームを使用するには、SELinux ポリシーを変更して、ホストとコンテナーが共有するディレクトリーへのアクセスを許可する必要があります。これは、SELinux がデフォルトでディレクトリー共有をブロックしているためです。SELinux ポリシーを変更するには、次のコマンドを実行します。

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   Copy to Clipboard Toggle word wrap

   ただし、Red Hat は SELinux ポリシーの変更を推奨していません。代わりに、OpenShift Container Platform にインストールするときに PVC を使用してください。

手順

1. setup.sh スクリプトを実行して、イメージレジストリーアクセスを設定します。

   $ ./central-bundle/central/scripts/setup.sh

   Copy to Clipboard Toggle word wrap

2. 必要なリソースを作成します。

   $ oc create -R -f central-bundle/central

   Copy to Clipboard Toggle word wrap

3. デプロイメントの進行状況を確認します。

   $ oc get pod -n stackrox -w

   Copy to Clipboard Toggle word wrap

4. Central の実行後、RHACS ポータルの IP アドレスを見つけて、ブラウザーで開きます。プロンプトに応答するときに選択した公開方法に応じて、次のいずれかの方法を使用して IP アドレスを取得します。

   Expand

   公開方法	コマンド	アドレス	例
   ルート	oc -n stackrox get route central	出力の HOST/PORT 列の下のアドレス	https://central-stackrox.example.route
   ノードポート	oc get node -owide && oc -n stackrox get svc central-loadbalancer	サービス用に表示されたポート上の任意のノードの IP またはホスト名	https://198.51.100.0:31489
   ロードバランサー	oc -n stackrox get svc central-loadbalancer	EXTERNAL-IP、またはポート 443 でサービスに表示されるホスト名	https://192.0.2.0
   None	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

   Show more