roxctl CLI

명령줄 인터페이스에서 roxctl CLI를 설치하여 Kubernetes용 Red Hat Advanced Cluster Security와 상호 작용할 수 있습니다. Linux, Windows 또는 macOS에 roxctl 을 설치할 수 있습니다.

roxctl 클라이언트는 Red Hat Advanced Cluster Security for Kubernetes roxctl 이미지의 기본 진입점입니다. 컨테이너 이미지에서 roxctl 클라이언트를 실행하려면 다음을 수행합니다.

CLI를 설치한 후 다음 명령을 사용하여 실행할 수 있습니다.

$ docker run -e ROX_API_TOKEN=$ROX_API_TOKEN \
  -it registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.73.5 \
  -e $ROX_CENTRAL_ADDRESS <command>

중앙에는 다음에 대한 정보가 저장됩니다.

roxctl CLI를 사용하여 중앙의 데이터베이스를 백업 및 복원할 수 있습니다.

중앙 데이터베이스 백업

다음 명령을 실행하여 중앙의 데이터베이스를 백업합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central backup

중앙 데이터베이스 복원

다음 명령을 실행하여 중앙의 데이터베이스를 복원합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central db restore <backup_filename>

Kubernetes 또는 OpenShift Container Platform 클러스터를 보호하려면 Kubernetes 서비스용 Red Hat Advanced Cluster Security를 클러스터에 배포해야 합니다. 플랫폼 구성 → 클러스터 보기로 이동하여 RHACS 포털에서 배포 파일을 생성하거나 roxctl CLI를 사용할 수 있습니다.

센서 배포 파일 생성

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate k8s --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate openshift --openshift-version <ocp-version> --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS" 1

시스템 아키텍처에 따라 사용할 수 있는 다른 옵션을 보려면 --help 출력을 읽습니다.

Red Hat Advanced Cluster Security for Kubernetes 서비스를 배포하는 클러스터에서 --central 에 제공하는 끝점에 도달할 수 있는지 확인합니다.

생성 YAML 파일을 사용하여 센서 설치

Sensor 배포 파일을 생성하면 roxctl 에서 작업 디렉터리에 sensor-<cluster_name&gt;이라는 디렉터리를 생성합니다. 센서를 설치하는 스크립트는 이 디렉터리에 있습니다. 센서 설치 스크립트를 실행하여 센서를 설치합니다.

$ ./sensor-<cluster_name>/sensor.sh

센서를 설치하는 데 필요한 권한이 없다는 경고가 표시되면 화면의 지침을 따르거나 클러스터 관리자에게 도움을 요청하십시오.

기존 클러스터의 센서 번들 다운로드

다음 명령을 사용하여 클러스터 이름 또는 ID를 지정하여 기존 클러스터의 Sensor 번들을 다운로드합니다.

$ roxctl sensor get-bundle <cluster_name_or_id>

클러스터 통합 삭제

$ roxctl -e "$ROX_CENTRAL_ADDRESS" cluster delete --name=<cluster_name>

roxctl CLI를 사용하여 정책 준수를 위해 배포 YAML 파일 및 이미지를 확인할 수 있습니다.

출력 형식 구성

배포 검사,이미지 검사 또는 이미지 검사 명령을 사용하여 정책 준수를 확인하는 경우 -o 옵션을 사용하여 출력 형식을 지정할 수 있습니다. 이 옵션은 명령의 출력이 터미널에 표시되는 방법을 결정합니다.

명령에 -o 옵션을 추가하고 형식을 json,table,csv, junit 으로 지정하여 출력 형식을 변경할 수 있습니다.

예를 들어 다음 명령은 배포를 확인한 다음 결과를 csv 형식으로 표시합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file =<yaml_filename> \
  -o csv

출력을 구성하는 데 다양한 옵션을 사용할 수 있습니다. 다음 표에는 옵션 및 사용 가능한 형식이 나열되어 있습니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file=<yaml_filename> \
  -o table --headers POLICY-NAME,SEVERITY \
  --row-jsonpath-expressions="{results.#.violatedPolicies.#.name,results.#.violatedPolicies.#.severity}"

배포 YAML 파일 확인

다음 명령은 YAML 배포 파일에서 보안 정책에 대한 빌드 시간 및 배포 시간 위반을 확인합니다. 다음 명령을 사용하여 검증합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" deployment check --file=<yaml_filename>

이미지 확인

다음 명령은 이미지의 보안 정책에 대한 빌드 시간 위반을 확인합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image check --image=<image_name>

이미지 검사 결과 확인

특정 이미지의 검사 결과를 확인할 수도 있습니다.

다음 명령은 이미지에 있는 구성 요소와 취약점을 JSON 형식으로 반환합니다. 형식은 API 참조에 정의되어 있습니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image scan --image <image_name>

Red Hat Advanced Cluster Security for Kubernetes가 관련 레지스트리 및 스캐너에서 이미지 메타데이터 및 이미지 검사 결과를 다시 가져오려면 --force 옵션을 추가합니다.

중앙 로그 수준 관리

중앙은 컨테이너 로그에 정보를 저장합니다.

로그 보기

다음을 실행하여 중앙에 대한 컨테이너 로그를 확인할 수 있습니다.

$ kubectl logs -n stackrox <central_pod>

$ oc logs -n stackrox <central_pod>

현재 로그 수준 보기

로그 수준을 변경하여 중앙 로그에서 더 많거나 적은 정보를 볼 수 있습니다. 다음 명령을 실행하여 현재 로그 수준을 확인합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log

로그 수준 변경

다음 명령을 실행하여 로그 수준을 변경합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log --level=<log_level> 1

디버깅 정보 검색

문제 조사에 대한 디버깅 정보를 수집하려면 다음 명령을 실행합니다.

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug dump

build-time 네트워크 정책 생성기가 roxctl CLI에 포함되어 있습니다. 빌드 시간 네트워크 정책 생성 기능의 경우 roxctl CLI는 RHACS Central과 통신할 필요가 없으므로 모든 개발 환경에서 사용할 수 있습니다.

roxctl generate netpol 명령은 다음 옵션을 지원합니다.