구성

절차

1. ca-setup.sh 스크립트를 다운로드합니다.

   참고
   • 새 설치를 수행하는 경우 central-bundle/central/ scripts / ca-setup.sh .sh 디렉터리의 ca-setup.sh 스크립트를 찾을 수 있습니다.
   • OpenShift Container Platform 클러스터에 로그인한 것과 동일한 터미널에서 ca-setup.sh 스크립트를 실행해야 합니다.

2. ca-setup.sh 스크립트를 실행 가능하게 합니다.

   $ chmod +x ca-setup.sh

   Copy to Clipboard Toggle word wrap

3. 다음을 추가하려면 다음을 추가합니다.

   1. 단일 인증서로 -f (파일) 옵션을 사용합니다.

      $ ./ca-setup.sh -f <certificate>

      Copy to Clipboard Toggle word wrap
      참고
      • PEM 인코딩 인증서 파일(확장 포함)을 사용해야 합니다.
      • -u (update) 옵션과 함께 -f 옵션을 사용하여 이전에 추가한 인증서를 업데이트할 수도 있습니다.

   2. 한 번에 여러 개의 인증서로 디렉터리의 모든 인증서를 이동한 다음 -d (디렉터리) 옵션을 사용합니다.

      $ ./ca-setup.sh -d <directory_name>

      Copy to Clipboard Toggle word wrap
      참고
      • .crt 확장자로 PEM 인코딩 인증서 파일을 사용해야 합니다.
      • 각 파일에는 하나의 인증서만 포함되어야 합니다.
      • -u (update) 옵션과 함께 -d 옵션을 사용하여 이전에 추가한 인증서를 업데이트할 수도 있습니다.

절차

1. 배너의 링크를 클릭하여 인증서 및 키 값을 포함하여 새 OpenShift Container Platform 시크릿이 포함된 YAML 구성 파일을 다운로드합니다.

2. 새 YAML 구성 파일을 Central을 설치한 클러스터에 적용합니다.

   $ oc apply -f <secret_file.yaml>

   Copy to Clipboard Toggle word wrap
3. 변경 사항을 적용하려면 Central을 다시 시작하십시오.

절차

1. 배너의 링크를 클릭하여 인증서 및 키 값을 포함하여 새 OpenShift Container Platform 시크릿이 포함된 YAML 구성 파일을 다운로드합니다.

2. scanner를 설치한 클러스터에 새 YAML 구성 파일을 적용합니다.

   $ oc apply -f <secret_file.yaml>

   Copy to Clipboard Toggle word wrap
3. 스캐너를 다시 시작하여 변경 사항을 적용합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 구성으로 이동합니다.
2. 시스템 구성 보기 헤더에서 편집 을 클릭합니다.
3. 로그인 구성 섹션에 로그인 메시지를 입력합니다.
4. 로그인 메시지를 활성화하려면 로그인 구성 섹션에서 토글을 켭니다.
5. 저장을 클릭합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 구성으로 이동합니다.
2. 시스템 구성 보기 헤더에서 편집 을 클릭합니다.
3. Header Configuration (헤더 구성) 및 categoryer Configuration(구성) 섹션에서 헤더와 도장 텍스트를 입력합니다.
4. header와 footer text colors, size 및 Background colors . 를 사용자 지정할 수 있습니다.
5. 헤더를 활성화하려면 헤더 구성 섹션에서 토글을 켭니다.
6. 각 터를 활성화하려면 footer 설정 섹션의 토글을 켭니다.
7. 저장을 클릭합니다.

1. 정의를 다운로드합니다.
2. 정의를 중앙에 업로드합니다.

1. 기존 수집기 이미지입니다.
2. 커널 지원 패키지(중부에 업로드한 경우).
3. 인터넷에서 사용할 수 있는 Red Hat 운영 서버. 수집기는 중앙의 네트워크 연결을 사용하여 프로브를 확인하고 다운로드합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 구성으로 이동합니다.
2. 시스템 구성 보기 헤더에서 편집 을 클릭합니다.

3. 데이터 보존 구성 섹션에서 데이터 유형마다 일 수를 업데이트합니다.

   • 모든 Runtime Violations
   • Deploy-Phase Violations 해결
   • 삭제된 배포를 위한 Runtime Violations

   • 더 이상 배포되지 않은 이미지

     참고

     데이터 유형을 영구적으로 저장하려면 보존 기간을 0 일로 설정합니다.

4. 저장을 클릭합니다.

절차

1. 패치를 생성하고 ROX_PLAINTEXT_ENDPOINTS 환경 변수를 정의합니다.

   $ CENTRAL_PLAINTEXT_PATCH='
   spec:
     template:
       spec:
         containers:
         - name: central
           env:
           - name: ROX_PLAINTEXT_ENDPOINTS
             value: <endpoints_spec> 

   1

   
   '

   Copy to Clipboard Toggle word wrap

   1

   < type>@<addr>:<port> 형식의 끝점 사양. 자세한 내용은 사전 요구 사항 섹션을 참조하십시오.

2. ROX_PLAINTEXT_ENDPOINTS 환경 변수를 중앙 배포에 추가합니다.

   $ oc -n stackrox patch deploy/central -p "$CENTRAL_PLAINTEXT_PATCH"

   Copy to Clipboard Toggle word wrap

절차

1. RHACS 포털에서 플랫폼 구성 → 클러스터로 이동합니다.

2. 자동 업그레이드 보안 클러스터 토글을 켭니다.

   참고

   새 설치의 경우 자동 업그레이드 보안 클러스터 토글은 기본적으로 활성화되어 있습니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 클러스터로 이동합니다.

2. 자동 업그레이드 보안 클러스터 토글을 끕니다.

   참고

   새 설치의 경우 자동 업그레이드 보안 클러스터 토글은 기본적으로 활성화되어 있습니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 클러스터로 이동합니다.
2. 업그레이드하려는 클러스터의 Upgrade status 열에서 사용 가능한 업그레이드 옵션을 선택합니다.
3. 한 번에 여러 클러스터를 업그레이드하려면 업데이트하려는 클러스터의 Cluster 열에서 확인란을 선택합니다.
4. 업그레이드를 클릭합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 구성으로 이동합니다.
2. 시스템 구성 헤더에서 편집 을 클릭합니다.

3. 클러스터 삭제 섹션에서 다음 필드를 구성할 수 있습니다.

   • Decommissioned cluster age: RHACS에서 제거될 것으로 간주되기 전에 클러스터에 연결할 수 없는 일 수입니다. 중앙에서 이 기간 동안 클러스터의 Sensor에 도달할 수 없는 경우 클러스터와 모든 리소스가 RHACS에서 제거됩니다. 기본 동작인 이 기능을 비활성화 상태로 유지하려면 이 필드에 0 을 입력합니다. 이 기능을 활성화하려면 90 과 같은 0이 아닌 번호를 입력하여 연결할 수 없는 일 수를 구성합니다.

   • 레이블이 있는 클러스터 무시: 클러스터가 제거되지 않도록하려면 이 섹션에 키와 값을 입력하여 라벨을 구성할 수 있습니다. Decommissioned cluster age 필드에 설정된 일 수에 대해 연결할 수 없는 경우에도 이 레이블이 있는 클러스터는 제거되지 않습니다.

     • key: 클러스터에 사용할 레이블을 입력합니다.

     • value: 키와 연결된 값을 입력합니다.

       예를 들어 프로덕션 클러스터가 제거되지 않도록 유지하기 위해 cluster-type 키와 production 값을 구성할 수 있습니다.

       참고

       클러스터 삭제 섹션에서 Sensor Status: Unhealthy가 있는 클러스터를 클릭하여 클러스터 목록 페이지로 이동합니다. 이 페이지는 제거할 수 있는 비활성 클러스터와 RHACS에서 제거하는 기간을 표시하도록 필터링됩니다.

4. 저장을 클릭합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 구성으로 이동합니다.

2. 클러스터 삭제 섹션에서 Sensor Status: Unhealthy가 있는 클러스터를 클릭하여 클러스터 목록 페이지로 이동합니다. 이 페이지는 RHACS에서 제거할 수 있는 비활성 클러스터와 제거 기간을 표시하도록 필터링됩니다.

   참고

   클러스터가 비활성으로 간주된 후 이 기능을 활성화하면 기능이 활성화된 시간이 아니라 클러스터가 비활성 상태가 되는 시점부터 며칠이 계산됩니다. 제거하지 않는 비활성 클러스터가 있는 경우 "클러스터 제거" 섹션에 설명된 대로 라벨을 구성할 수 있습니다. 시스템이 비활성 클러스터를 제거하면 해당 라벨이 있는 클러스터는 무시됩니다.

절차

1. 기존 보안을 YAML 파일로 저장합니다.

   $ oc -n stackrox get secret proxy-config \
     -o go-template='{{index .data "config.yaml" | \
     base64decode}}{{"\n"}}' > /tmp/proxy-config.yaml

   Copy to Clipboard Toggle word wrap
2. 설치 중 프록시 구성 섹션에 지정된 대로 YAML 구성 파일에서 수정할 필드를 편집합니다.

3. 변경 사항을 저장한 후 다음 명령을 실행하여 보안을 교체합니다.

   $ oc -n stackrox create secret generic proxy-config \
     --from-file=config.yaml=/tmp/proxy-config.yaml -o yaml --dry-run | \
     oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
     oc apply -f -

   Copy to Clipboard Toggle word wrap
   중요
   • OpenShift Container Platform이 중앙 및 스캐너에 변경 사항을 전달할 때까지 1분 이상 기다려야 합니다.
   • 프록시 구성을 변경한 후 발신 연결에 문제가 표시되면 중앙 및 스캐너 Pod를 다시 시작해야 합니다.

절차

1. 배포 번들 디렉터리에서 구성 파일 central/proxy-config-secret.yaml 을 엽니다.

   참고

   Helm을 사용하는 경우 구성 파일은 central/templates/proxy-config-secret.yaml 에 있습니다.

2. 구성 파일에서 수정할 필드를 편집합니다.

   apiVersion: v1
   kind: Secret
   metadata:
     namespace: stackrox
     name: proxy-config
   type: Opaque
   stringData:
     config.yaml: |- 

   1

   
       # # NOTE: Both central and scanner should be restarted if this secret is changed.
       # # While it is possible that some components will pick up the new proxy configuration
       # # without a restart, it cannot be guaranteed that this will apply to every possible
       # # integration etc.
       # url: http://proxy.name:port 

   2

   
       # username: username 

   3

   
       # password: password 

   4

   
       # # If the following value is set to true, the proxy wil NOT be excluded for the default hosts:
       # # - *.stackrox, *.stackrox.svc
       # # - localhost, localhost.localdomain, 127.0.0.0/8, ::1
       # # - *.local
       # omitDefaultExcludes: false
       # excludes:  # hostnames (may include * components) for which you do not 

   5

   
       # # want to use a proxy, like in-cluster repositories.
       # - some.domain
       # # The following configuration sections allow specifying a different proxy to be used for HTTP(S) connections.
       # # If they are omitted, the above configuration is used for HTTP(S) connections as well as TCP connections.
       # # If only the `http` section is given, it will be used for HTTPS connections as well.
       # # Note: in most cases, a single, global proxy configuration is sufficient.
       # http:
       #   url: http://http-proxy.name:port 

   6

   
       #   username: username 

   7

   
       #   password: password 

   8

   
       # https:
       #   url: http://https-proxy.name:port 

   9

   
       #   username: username 

   10

   
       #   password: password 

   11

   Copy to Clipboard Toggle word wrap

   3 4 7 8 10 11

   사용자 이름과 암호 를 추가하는 것은 시작과 http 및 https 섹션의 선택 사항입니다.

   2 6 9

   url 옵션은 다음 URL 스키마를 지원합니다.

   • HTTP 프록시의 경우 HTTP :// 입니다.
   • TLS 사용 HTTP 프록시의 경우 HTTPS :// 입니다.
   • socks5:// for a#177KS5 proxy.

   5

   excludes 목록에는 CIDR 표기법(예: 10.0.0.0/8)의 DNS 이름( * 와일드카드 포함), IP 주소 또는 IP 블록이 포함될 수 있습니다. 이 목록의 값은 프로토콜에 관계없이 모든 발신 연결에 적용됩니다.

   1

   stringData 섹션의 |- 행은 구성 데이터의 시작을 나타냅니다.

   참고

   • 파일을 처음 열면 모든 값이 주석 처리됩니다(행 시작 부분에 # 기호를 사용하여). 이중 해시 기호로 시작하는 줄 # # 에는 구성 키에 대한 설명이 포함되어 있습니다.
   • 필드를 편집할 때 config.yaml: |- 행과 관련된 들여쓰기 수준을 두 개의 공백으로 유지합니다.

3. 구성 파일을 편집한 후 일반적인 설치를 진행할 수 있습니다. 업데이트된 구성은 제공된 주소와 포트 번호에서 실행되는 프록시를 사용하도록 Red Hat Advanced Cluster Security for Kubernetes에 지시합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 시스템 상태를 선택합니다.
2. System Health View 헤더에서 진단 번들 생성을 클릭합니다.
3. Filter by clusters 드롭다운 메뉴의 경우 진단 데이터를 생성할 클러스터를 선택합니다.
4. Filter by starting time 의 경우 진단 데이터를 포함하려는 날짜 및 시간 (UTC 형식으로)을 지정합니다.
5. 진단 번들 다운로드를 클릭합니다.

절차

1. central-bundle 을 생성한 후 ./central-bundle/central/02-endpoints-config.yaml 파일을 엽니다.
2. 이 파일에서 키 endpoints.yaml 의 data: 섹션에 사용자 지정 YAML 구성을 추가합니다. YAML 구성에 대해 4개의 공백 들여쓰기를 유지 관리해야 합니다.
3. 정상적으로 설치 지침을 따르십시오. Red Hat Advanced Cluster Security for Kubernetes는 지정된 구성을 사용합니다.

절차

1. 기존 구성 맵을 다운로드합니다.

   $ oc -n stackrox get cm/central-endpoints -o go-template='{{index .data "endpoints.yaml"}}'  > <directory_path>/central_endpoints.yaml

   Copy to Clipboard Toggle word wrap
2. 다운로드한 central_endpoints.yaml 파일에서 사용자 지정 YAML 구성을 지정합니다.

3. 수정된 central_endpoints.yaml 구성 파일을 업로드하고 적용합니다.

   $ oc -n stackrox create cm central-endpoints --from-file=endpoints.yaml=<directory-path>/central-endpoints.yaml -o yaml --dry-run | \
   oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
   oc apply -f -

   Copy to Clipboard Toggle word wrap
4. Central을 다시 시작합니다.

절차

1. allow-ext-to-central Kubernetes 네트워크 정책을 복제합니다.

   $ oc -n stackrox get networkpolicy.networking.k8s.io/allow-ext-to-central -o yaml > <directory_path>/allow-ext-to-central-custom-port.yaml

   Copy to Clipboard Toggle word wrap
2. 이를 참조로 사용하여 네트워크 정책을 생성하고 해당 정책에서 노출하려는 포트 번호를 지정합니다. YAML 파일의 metadata 섹션에서 네트워크 정책의 이름을 변경하여 기본 제공 allow-ext-to-central 정책을 방해하지 않도록 하십시오.

절차

1. OpenShift Container Platform 웹 콘솔에서 Operator → 설치된 Operator 페이지로 이동합니다.
2. 설치된 Operator 목록에서 Kubernetes Operator용 Red Hat Advanced Cluster Security를 선택합니다.
3. 중앙 탭을 클릭합니다.
4. 중앙 인스턴스 목록에서 모니터링을 사용하도록 설정할 중앙 인스턴스를 클릭합니다.

5. YAML 탭을 클릭하고 YAML 구성을 업데이트합니다.

   • 중앙 모니터링의 경우 Central 사용자 정의 리소스에 대한 central.monitoring.exposeEndpoint 구성 옵션을 활성화합니다.

     apiVersion: platform.stackrox.io/v1alpha1
     kind: Central
     ...
     spec:
       central:
         monitoring:
           exposeEndpoint: Enabled
     ...

     Copy to Clipboard Toggle word wrap

   • 모니터링 스캐너의 경우 Central 사용자 정의 리소스에 대한 scanner.monitoring.exposeEndpoint 구성 옵션을 활성화합니다.

     apiVersion: platform.stackrox.io/v1alpha1
     kind: Central
     ...
     spec:
       scanner:
         monitoring:
           exposeEndpoint: Enabled
     ...

     Copy to Clipboard Toggle word wrap
6. 저장을 클릭합니다.

절차

1. values-public.yaml 구성 파일을 다음 값으로 업데이트합니다.

   central.exposeMonitoring: true
   scanner.exposeMonitoring: true

   Copy to Clipboard Toggle word wrap

2. helm upgrade 명령을 실행하고 -f 옵션을 사용하여 구성 파일을 지정합니다.

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     -f <path_to_values_public.yaml>

   Copy to Clipboard Toggle word wrap
   참고

   --set 또는 --set-file 매개변수를 사용하여 구성 값을 지정할 수도 있습니다. 그러나 이러한 옵션은 저장되지 않으며 변경할 때마다 모든 옵션을 수동으로 다시 지정해야 합니다.

절차

1. 다음 콘텐츠를 사용하여 새 servicemonitor.yaml 파일을 생성합니다.

   apiVersion: monitoring.coreos.com/v1
   kind: ServiceMonitor
   metadata:
     name: prometheus-stackrox
     namespace: stackrox
   spec:
     endpoints:
       - interval: 30s
         port: monitoring
         scheme: http
     selector:
       matchLabels:
         app.kubernetes.io/name: <stackrox-service> 

   1

   Copy to Clipboard Toggle word wrap

   1

   라벨은 모니터링하려는 서비스 리소스와 일치해야 합니다. 예를 들면 central 또는 scanner 가 있습니다.

2. 클러스터에 YAML을 적용합니다.

   $ oc apply -f servicemonitor.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes를 사용하는 경우 oc.. 대신 kubectl 을 입력합니다.

절차

1. 포트 번호 9090 을 노출하도록 서비스를 패치합니다.

   1. 센서 서비스를 패치합니다.

      $ oc -n stackrox patch svc/sensor -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}' 

      1

      Copy to Clipboard Toggle word wrap

      1

      Kubernetes를 사용하는 경우 oc.. 대신 kubectl 을 입력합니다.

   2. 중앙 서비스를 패치합니다.

      $ oc -n stackrox patch svc/central -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}'

      Copy to Clipboard Toggle word wrap

2. 수신을 허용하도록 네트워크 정책을 수정합니다.

   $ oc apply -f - <<EOF 

   1

   
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     labels:
       app.kubernetes.io/name: stackrox
     name: allow-monitoring
     namespace: stackrox
   spec:
     ingress:
     - ports:
       - port: 9090
         protocol: TCP
     podSelector:
       matchExpressions:
       - {key: app, operator: In, values: [central, sensor, collector]}
     policyTypes:
     - Ingress
   EOF

   Copy to Clipboard Toggle word wrap

   1

   Kubernetes를 사용하는 경우 oc.. 대신 kubectl 을 입력합니다.

절차

1. RHACS 포털에서 플랫폼 구성 → 통합 으로 이동합니다.
2. Notifier Integrations 섹션까지 아래로 스크롤하여 Generic Webhook 또는 Splunk 를 선택합니다.
3. 필요한 정보를 입력하고 감사 로깅 활성화 토글을 켭니다.