アップグレード

手順

1. OpenShift Container Platform Web コンソールで、RHACS Operator ページに移動します。
2. 上部のナビゲーションメニューで Secured Cluster を選択します。
3. インスタンス名 (例: stackrox-secured-cluster-services) をクリックします。

4. 設定を変更するには、次のいずれかの方法を使用します。

   • Form view の Per Node Settings → Collector Settings → Collection で、CORE_BPF を選択します。
   • YAML をクリックして YAML エディターを開き、spec.perNode.collector.collection 属性を見つけます。値が KernelModule または EBPF の場合は、CORE_BPF に変更します。
5. Save をクリックします。

手順

1. OpenShift Container Platform Web コンソールの Administrator パースペクティブで、Operators → Installed Operators に移動します。
2. RHACS Operator をクリックします。
3. Subscription タブをクリックします。
4. Update Channel の下にある更新チャネルの名前をクリックします。
5. stable を選択し、Save をクリックします。

6. Automatic 承認ストラテジーがあるサブスクリプションの場合、更新は自動的に開始します。Operators → Installed Operators ページに戻って、更新の進行状況を監視します。完了時に、ステータスは Succeeded および Up to date に変更されます。

   Manual 承認ストラテジーがあるサブスクリプションの場合、Subscription タブから更新を手動で承認できます。

手順

1. Operator Lifecycle Manager (OLM) サブスクリプションとクラスターサービスバージョン (CSV) を削除します。

   重要

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

   1. OLM サブスクリプションを削除するには、次のコマンドを実行します。

      $ oc -n rhacs-operator delete subscription rhacs-operator

      Copy to Clipboard Toggle word wrap

      出力例

      subscription.operators.coreos.com "rhacs-operator" deleted

      Copy to Clipboard Toggle word wrap

   2. CSV を削除するには、次のコマンドを実行します。

      $ oc -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

      Copy to Clipboard Toggle word wrap

      出力例

      clusterserviceversion.operators.coreos.com "rhacs-operator.v4.8.4" deleted

      Copy to Clipboard Toggle word wrap

2. RHACS Operator の以前のバージョンをインストールします。

   1. OpenShift Web コンソールで、OperatorHub をクリックします。
   2. Advanced Cluster Security for Kubernetes を検索します。

   3. 以前のバージョンの Operator を選択してインストールします。

      注記

      以前の Operator バージョンをインストールすると、RHACS は Operator と同じバージョンにロールバックされます。

手順

1. OpenShift Web コンソールで、Operator → Installed Operator をクリックします。
2. プロジェクトのリストから rhacs-operator を選択します。

3. Advanced Cluster Security for Kubernetes Operator を見つけます。

   1. オーバーフローメニュー → Uninstall Operator をクリックします。

      Operator のアンインストールダイアログが表示されます。

   2. Red Hat Advanced Cluster Security for Kubernetes (RHACS) のアンインストールを回避するために、Delete all operand instances for this operator チェックボックスがオフになっていることを確認します。
   3. Uninstall をクリックします。

4. RHACS Operator の以前のバージョンをインストールします。

   1. OpenShift Web コンソールで、OperatorHub をクリックします。
   2. Advanced Cluster Security for Kubernetes を検索します。

   3. 以前のバージョンの Operator を選択してインストールします。

      注記

      以前の Operator バージョンをインストールすると、RHACS は Operator と同じバージョンにロールバックされます。

1. central-db Pod のステータスを確認します。

   $ oc -n <namespace> get pod -l app=central-db 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

2. Pod のステータスが Pending の場合は、describe コマンドを使用して詳細を取得します。

   $ oc -n <namespace> describe po/<central-db-pod-name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

3. FailedScheduling 警告メッセージが表示される場合があります。

   Type     Reason            Age   From               Message
   ----     ------            ----  ----               -------
   Warning  FailedScheduling  54s   default-scheduler  0/7 nodes are available: 1 Insufficient memory, 3 node(s) had untolerated taint {node-role.kubernetes.io/master: }, 4 Insufficient cpu. preemption: 0/7 nodes are available: 3 Preemption is not helpful for scheduling, 4 No preemption victims found for incoming pod.

   Copy to Clipboard Toggle word wrap

4. この警告メッセージは、スケジュールされたノードに Pod のリソース要件に対応するのに十分なメモリーがないことを示唆しています。小規模な環境の場合は、ノード上のリソースを増やすか、データベースをサポートできるより大きなノードを追加することを検討してください。

   それ以外の場合は、central → db → resources の下のカスタムリソースで、central-db Pod のリソース要件を減らすことを検討してください。ただし、推奨される最小リソースよりも少ないリソースで中央を実行すると、RHACS のパフォーマンスが低下する可能性があります。

手順

1. ターゲットのオペレーティングシステムの roxctl アーキテクチャーを確認します。

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

   Copy to Clipboard Toggle word wrap

2. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.8.4/bin/Linux/roxctl${arch}"

   Copy to Clipboard Toggle word wrap

3. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

4. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

手順

1. ターゲットのオペレーティングシステムの roxctl アーキテクチャーを確認します。

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

   Copy to Clipboard Toggle word wrap

2. roxctl CLI をダウンロードします。

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.8.4/bin/Darwin/roxctl${arch}"

   Copy to Clipboard Toggle word wrap

3. バイナリーからすべての拡張属性を削除します。

   $ xattr -c roxctl

   Copy to Clipboard Toggle word wrap

4. roxctl バイナリーを実行可能にします。

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

5. PATH 上にあるディレクトリーに roxctl バイナリーを配置します。

   PATH を確認するには、以下のコマンドを実行します。

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力し、roxctl を使用して新しいリソースセットを生成します。

   $ roxctl central generate k8s pvc > bundle.zip

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを入力して、アーカイブから CRD を抽出します。

   $ unzip bundle.zip central/00-securitypolicy-crd.yaml

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを入力して、抽出した CRD をクラスターに適用します。

   $ oc apply -f central/00-securitypolicy-crd.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

手順

1. 次のコマンドを実行して、Central イメージを更新します。

   $ oc -n stackrox set image deploy/central \
   central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Central-db イメージを更新します。

   $ oc -n stackrox set image deploy/central-db \
   central-db=registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.8.4 \
   init-db=registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、config controller イメージを更新します。

   $ oc -n stackrox set image deploy/config-controller \
   manager=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

手順

1. カスタム Scanner 設定を作成した場合は、Scanner 設定ファイルを更新する前に、これらの変更を適用する必要があります。

   1. 次のコマンドを実行して Scanner を生成します。

      $ roxctl -e "$ROX_CENTRAL_ADDRESS" scanner generate

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、TLS シークレット YAML ファイルを適用します。

      $ oc apply -f scanner-bundle/scanner/02-scanner-03-tls-secret.yaml

      Copy to Clipboard Toggle word wrap

   3. 次のコマンドを実行して、スキャナー設定 YAML ファイルを適用します。

      $ oc apply -f scanner-bundle/scanner/02-scanner-04-scanner-config.yaml

      Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Scanner イメージを更新します。

   $ oc -n stackrox set image deploy/scanner \
   scanner=registry.redhat.io/advanced-cluster-security/rhacs-scanner-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、Scanner データベースイメージを更新します。

   $ oc -n stackrox set image deploy/scanner-db \
   db=registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.8.4 \
   init-db=registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

手順

1. Sensor イメージを更新します。

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.4 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

2. Compliance イメージを更新します。

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.4 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

3. Collector イメージを更新します。

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.8.4 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

4. アドミッションコントロールイメージを更新します。

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.4

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、センサーにパッチを適用し、POD_NAMESPACE が設定されていることを確認します。

   $ [[ -z "$(oc -n stackrox get deployment sensor -o yaml | grep POD_NAMESPACE)" ]] && oc -n stackrox patch deployment sensor --type=json -p '[{"op":"add","path":"/spec/template/spec/containers/0/env/-","value":{"name":"POD_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}}]'

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、admission-control にパッチを適用し、POD_NAMESPACE が設定されていることを確認します。

   $ [[ -z "$(oc -n stackrox get deployment admission-control -o yaml | grep POD_NAMESPACE)" ]] && oc -n stackrox patch deployment admission-control --type=json -p '[{"op":"add","path":"/spec/template/spec/containers/0/env/-","value":{"name":"POD_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}}]'

   Copy to Clipboard Toggle word wrap

手順

1. Central クラスターとすべてのセキュアクラスターにデプロイされているすべての RHACS サービスをリスト表示します。

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   Copy to Clipboard Toggle word wrap

   出力例

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   Copy to Clipboard Toggle word wrap

   この例では、各 Pod に独自のカスタム SCC があり、openshift.io/scc フィールドで指定されていることがわかります。

2. RHACS のカスタム SCC の代わりに Red Hat OpenShift SCC を使用するには、必要なロールとロールバインディングを追加します。

   Central クラスターで Red Hat OpenShift SCC を使用するために必要なロールとロールバインディングを追加するには、次の手順を実行します。

   1. 次の内容を使用して、ロールリソースとロールバインディングリソースを定義する update-central.yaml という名前のファイルを作成します。

      例3.1 サンプル YAML ファイル

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role 

      1

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-central-db-scc 

      2

      
        namespace: stackrox 

      3

      
      Rules: 

      4

      
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/managed-by: Helm
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-central-scc
        namespace: stackrox
      rules:
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: scanner
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-scanner-scc
        namespace: stackrox
      rules:
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 

      5

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.k ubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: central-db-use-scc 

      6

      
        namespace: stackrox
      roleRef: 

      7

      
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-central-db-scc
      subjects: 

      8

      
      - kind: ServiceAccount
        name: central-db
        namespace: stackrox
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: central-use-scc
        namespace: stackrox
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-central-scc
      subjects:
      - kind: ServiceAccount
        name: central
        namespace: stackrox
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: scanner
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: scanner-use-scc
        namespace: stackrox
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-scanner-scc
      subjects:
      - kind: ServiceAccount
        name: scanner
        namespace: stackrox
      - - -

      Copy to Clipboard Toggle word wrap

      1

      Kubernetes リソースのタイプ。この例では Role です。

      2

      ロールリソースの名前。

      3

      ロールの作成先の namespace。

      4

      ロールリソースによって付与される権限を記述します。

      5

      Kubernetes リソースのタイプ。この例では RoleBinding です。

      6

      ロールバインディングリソースの名前。

      7

      同じ namespace 内のバインドするロールを指定します。

      8

      ロールにバインドするサブジェクトを指定します。

   2. 次のコマンドを実行して、update-central.yaml ファイルで指定したロールリソースとロールバインディングリソースを作成します。

      $ oc -n stackrox create -f ./update-central.yaml

      Copy to Clipboard Toggle word wrap

3. すべてのセキュアクラスターで Red Hat OpenShift SCC を使用するために必要なロールとロールバインディングを追加するには、次の手順を実行します。

   1. 次の内容を使用して、ロールリソースとロールバインディングリソースを定義する upgrade-scs.yaml という名前のファイルを作成します。

      例3.2 サンプル YAML ファイル

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  

      1

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  

      2

      
        namespace: stackrox 

      3

      
      rules:  

      4

      
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 

      5

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc 

      6

      
        namespace: stackrox
      roleRef: 

      7

      
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: 

      8

      
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      Copy to Clipboard Toggle word wrap

      1

      Kubernetes リソースのタイプ。この例では Role です。

      2

      ロールリソースの名前。

      3

      ロールの作成先の namespace。

      4

      ロールリソースによって付与される権限を記述します。

      5

      Kubernetes リソースのタイプ。この例では RoleBinding です。

      6

      ロールバインディングリソースの名前。

      7

      同じ namespace 内のバインドするロールを指定します。

      8

      ロールにバインドするサブジェクトを指定します。

   2. 次のコマンドを実行して、upgrade-scs.yaml ファイルで指定したロールリソースとロールバインディングリソースを作成します。

      $ oc -n stackrox create -f ./update-scs.yaml

      Copy to Clipboard Toggle word wrap
      重要

      upgrade-scs.yaml ファイルで指定したロールとロールバインディングを作成するには、各セキュアクラスターでこのコマンドを実行する必要があります。

4. RHACS に固有の SCC を削除します。

   1. Central クラスターに固有の SCC を削除するには、次のコマンドを実行します。

      $ oc delete scc/stackrox-central scc/stackrox-central-db scc/stackrox-scanner

      Copy to Clipboard Toggle word wrap

   2. すべてのセキュアクラスターに固有の SCC を削除するには、次のコマンドを実行します。

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      Copy to Clipboard Toggle word wrap
      重要

      各セキュアクラスターに固有の SCC を削除するには、各セキュアクラスターでこのコマンドを実行する必要があります。

手順

1. Download YAML file and keys をクリックする前に、セキュアクラスターのバンドルが今後のアップグレードを有効にした状態で生成されていることを確認してください。
2. 可能であれば、そのセキュアクラスターを削除し、今後のアップグレードが有効になるように新しいバンドルを生成してください。

3. クラスターを再作成できない場合は、次のアクションを実行できます。

   1. サービスアカウント sensor-upgrader が Sensor と同じ namespace に存在することを確認します。
   2. cluster-admin ClusterRole を sensors-upgrader サービスアカウントに付与する ClusterRoleBinding (デフォルト名: <namespace>:upgrade-sensors) が存在することを確認します。

手順

1. セキュアクラスターがレジストリーにアクセスし、イメージ <image_reference:tag> をプルできることを確認します。
2. セキュアクラスターでイメージプルシークレットが正しく設定されていることを確認します。

手順

1. アップグレーダーに、クラスターオブジェクトにアクセスする権限があることを確認します。詳細は、「Upgrader is missing permissions」を参照してください。
2. 詳細は、アップグレーダーログを確認してください。