Red Hat Summit Red Hat Summit지원콘솔개발자평가판 시작연락처

2.3. Red Hat OpenShift에 RHACS용 중앙 서비스 설치

Central은 RHACS 애플리케이션 관리 인터페이스 및 서비스가 포함된 리소스입니다. 데이터 지속성, API 상호 작용 및 RHACS 포털 액세스를 처리합니다. 동일한 중앙 인스턴스를 사용하여 여러 OpenShift Container Platform 또는 Kubernetes 클러스터를 보호할 수 있습니다.

다음 방법 중 하나를 사용하여 OpenShift Container Platform 또는 Kubernetes 클러스터에 Central을 설치할 수 있습니다.

  • Operator를 사용하여 설치
  • Helm 차트를 사용하여 설치
  • roxctl CLI를 사용하여 설치합니다(사용해야 하는 특정 설치가 없는 경우 이 메서드를 사용하지 마십시오).

2.3.1. Operator를 사용하여 중앙 설치

2.3.1.1. Kubernetes Operator용 Red Hat Advanced Cluster Security 설치

OpenShift Container Platform과 함께 제공되는 OperatorHub를 사용하는 것이 Kubernetes용 Red Hat Advanced Cluster Security를 설치하는 가장 쉬운 방법입니다.

사전 요구 사항

절차

  1. 웹 콘솔에서 Operator OperatorHub 페이지로 이동합니다.
  2. Red Hat Advanced Cluster Security for Kubernetes가 표시되지 않는 경우 키워드로 필터링 상자에 Advanced Cluster Security 를 입력하여 Kubernetes Operator용 Red Hat Advanced Cluster Security를 찾습니다.
  3. Kubernetes Operator용 Red Hat Advanced Cluster Security for Kubernetes Operator 를 선택하여 세부 정보 페이지를 확인합니다.
  4. Operator에 대한 정보를 읽은 다음 설치를 클릭합니다.

  5. Operator 설치 페이지에서 다음을 수행합니다.

    • 설치 모드 의 기본값을 클러스터의 모든 네임스페이스로 유지합니다.
    • Installed namespace 필드에 Operator를 설치할 특정 네임스페이스를 선택합니다. rhacs-operator 네임스페이스에 Kubernetes Operator용 Red Hat Advanced Cluster Security를 설치합니다.

    • 업데이트 승인을 위해 자동 또는 수동 업데이트를 선택합니다.

      자동 업데이트를 선택하는 경우 새 버전의 Operator가 사용 가능한 경우 OLM(Operator Lifecycle Manager)은 Operator의 실행 중인 인스턴스를 자동으로 업그레이드합니다.

      수동 업데이트를 선택하면 최신 버전의 Operator가 사용 가능할 때 OLM에서 업데이트 요청을 생성합니다. 클러스터 관리자는 Operator를 최신 버전으로 업데이트하려면 업데이트 요청을 수동으로 승인해야 합니다.

      중요

      수동 업데이트를 선택하는 경우 Central이 설치된 클러스터에서 RHACS Operator를 업데이트할 때 모든 보안 클러스터에서 RHACS Operator를 업데이트해야 합니다. 보안 클러스터와 Central이 설치된 클러스터는 최적의 기능을 위해 동일한 버전이 있어야 합니다.

  6. 설치를 클릭합니다.

검증

  • 설치가 완료되면 Operator 설치된 Operator 로 이동하여 Kubernetes Operator용 Red Hat Advanced Cluster Security가 Succeeded 상태로 나열되어 있는지 확인합니다.

다음 단계

  • 중앙 사용자 지정 리소스를 설치, 구성 및 배포합니다.

2.3.1.2. Operator 메서드를 사용하여 중앙 설치

Red Hat Advanced Cluster Security for Kubernetes의 주요 구성 요소는 Central이라고 합니다. 중앙 사용자 정의 리소스를 사용하여 OpenShift Container Platform에 Central 을 설치할 수 있습니다. 중앙을 한 번만 배포하고 동일한 중앙 설치를 사용하여 여러 개의 개별 클러스터를 모니터링할 수 있습니다.

중요

Red Hat Advanced Cluster Security for Kubernetes를 처음 설치하는 경우 SecuredCluster 사용자 정의 리소스 설치가 중앙 에서 생성하는 인증서에 따라 먼저 Central 사용자 정의 리소스를 설치해야 합니다.

사전 요구 사항

절차

  1. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator 페이지로 이동합니다.
  2. 설치된 Operator 목록에서 Kubernetes Operator용 Red Hat Advanced Cluster Security를 선택합니다.

  3. 권장 네임스페이스에 Operator를 설치한 경우 OpenShift Container Platform은 프로젝트를 rhacs-operator 로 나열합니다. Project: rhacs-operator Create project 를 선택합니다.

    주의
    • 다른 네임스페이스에 Operator를 설치한 경우 OpenShift Container Platform에는 rhacs-operator 가 아닌 해당 네임스페이스의 이름이 표시됩니다.
    • Red Hat Advanced Cluster Security for Kubernetes Central 사용자 정의 리소스를 rhacs-operator 및 openshift-operator 프로젝트가 아닌 자체 프로젝트에 설치하거나 Kubernetes Operator용 Red Hat Advanced Cluster Security를 설치한 프로젝트에 설치해야 합니다.
  4. 새 프로젝트 이름(예: stackrox)을 입력하고 생성을 클릭합니다. stackrox 를 프로젝트 이름으로 사용하는 것이 좋습니다.
  5. 제공된 API 섹션에서 Central 을 선택합니다. Create Central 을 클릭합니다.
  6. 중앙 사용자 지정 리소스의 이름을 입력하고 적용하려는 레이블을 추가합니다. 그렇지 않으면 사용 가능한 옵션에 기본값을 수락합니다.
  7. 생성을 클릭합니다.
참고

클러스터 전체 프록시를 사용하는 경우 Kubernetes용 Red Hat Advanced Cluster Security는 해당 프록시 구성을 사용하여 외부 서비스에 연결합니다.

다음 단계

  1. 중앙 설치를 확인합니다.
  2. 선택 사항: 중앙 옵션을 구성합니다.
  3. 중앙 및 SecuredCluster 리소스 간 통신을 허용하는 클러스터 시크릿이 포함된 init 번들을 생성합니다. 이 번들을 다운로드하여 이를 사용하여 보호하려는 클러스터에 리소스를 생성하고 안전하게 저장해야 합니다.
  4. 모니터링하려는 각 클러스터에 보안 클러스터 서비스를 설치합니다.

2.3.1.3. Operator 메서드를 사용하여 외부 데이터베이스로 중앙 설치

중요

외부 PostgreSQL 지원은 기술 프리뷰 기능 전용입니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않으며 기능적으로 완전하지 않을 수 있습니다. 따라서 프로덕션 환경에서 사용하는 것은 권장하지 않습니다. 이러한 기능을 사용하면 향후 제품 기능을 조기에 이용할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

Red Hat 기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 기술 프리뷰 기능 지원 범위를 참조하십시오.

Red Hat Advanced Cluster Security for Kubernetes의 주요 구성 요소는 Central이라고 합니다. 중앙 사용자 정의 리소스를 사용하여 OpenShift Container Platform에 Central 을 설치할 수 있습니다. 중앙을 한 번만 배포하고 동일한 중앙 설치를 사용하여 여러 개의 개별 클러스터를 모니터링할 수 있습니다.

중요

Red Hat Advanced Cluster Security for Kubernetes를 처음 설치하는 경우 SecuredCluster 사용자 정의 리소스 설치가 중앙 에서 생성하는 인증서에 따라 먼저 Central 사용자 정의 리소스를 설치해야 합니다.

사전 요구 사항

  • OpenShift Container Platform 4.10 이상을 사용해야 합니다. 자세한 내용은 Red Hat Advanced Cluster Security for Kubernetes 지원 정책에서 참조하십시오.
  • PostgreSQL 13을 지원하는 데이터베이스를 프로비저닝해야 하며 RHACS에만 사용해야 합니다.
  • 데이터베이스를 만들고 삭제하려면 권한이 있는 슈퍼 유저 역할이 있어야 합니다.
참고

RHACS 4.0은 다중 테넌트 데이터베이스 및 PgBouncer을 지원하지 않습니다.

절차

  1. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator 페이지로 이동합니다.
  2. 설치된 Operator 목록에서 Kubernetes Operator용 Red Hat Advanced Cluster Security를 선택합니다.

  3. 권장 네임스페이스에 Operator를 설치한 경우 OpenShift Container Platform은 프로젝트를 rhacs-operator 로 나열합니다. Project: rhacs-operator Create project 를 선택합니다.

    주의
    • 다른 네임스페이스에 Operator를 설치한 경우 OpenShift Container Platform에는 rhacs-operator 가 아닌 해당 네임스페이스의 이름이 표시됩니다.
    • Red Hat Advanced Cluster Security for Kubernetes Central 사용자 정의 리소스를 rhacs-operator 및 openshift-operator 프로젝트가 아닌 자체 프로젝트에 설치하거나 Kubernetes Operator용 Red Hat Advanced Cluster Security를 설치한 프로젝트에 설치해야 합니다.
  4. 새 프로젝트 이름(예: stackrox)을 입력하고 생성을 클릭합니다. stackrox 를 프로젝트 이름으로 사용하는 것이 좋습니다.

  5. OpenShift Container Platform 웹 콘솔 또는 터미널을 사용하여 배포된 네임스페이스에 암호 보안을 생성합니다.

    • OpenShift Container Platform 웹 콘솔에서 워크로드 시크릿 페이지로 이동합니다. 키 암호와 프로비저닝된 데이터베이스의 슈퍼 유저 암호 가 포함된 일반 텍스트 파일의 경로로 값을 사용하여 키/값 시크릿 을 생성합니다.

    • 또는 터미널에서 다음 명령을 실행합니다. 

      $ oc create secret generic external-db-password \ 1
  --from-file=password=<password.txt> 2
      1
      Kubernetes를 사용하는 경우 oc.. 대신 kubectl 을 입력합니다.
      2
      password.txt 를 일반 텍스트 암호가 있는 파일의 경로로 바꿉니다.
  6. OpenShift Container Platform 웹 콘솔의 Red Hat Advanced Cluster Security for Kubernetes Operator 페이지로 돌아갑니다. 제공된 API 섹션에서 Central 을 선택합니다. Create Central 을 클릭합니다.
  7. 중앙 사용자 지정 리소스의 이름을 입력하고 적용하려는 레이블을 추가합니다.
  8. 중앙 구성 요소 설정 중앙 DB 설정으로 이동합니다.
  9. Administrator Password 는 참조된 보안을 external-db-password (또는 이전에 생성한 암호의 시크릿 이름)로 지정합니다.
  10. 연결 문자열(기술 프리뷰) 의 경우 keyword=value 형식으로 연결 문자열을 지정합니다(예: host=< host> port=5432 user=postgres sslmode=verify-ca).
  11. CloudEvent → PersistentVolumeClaim 클레임 이름의 경우 central-db 를 제거하십시오.

  12. 필요한 경우 중앙에 인증 기관을 지정하여 데이터베이스 인증서를 신뢰할 수 있습니다. 이를 추가하려면 YAML 보기로 이동하여 다음 예와 같이 최상위 사양 아래에 TLS 블록을 추가합니다. 

    spec:
  tls:
    additionalCAs:
    - name: db-ca
      content: |
        <certificate>
  13. 생성을 클릭합니다.
참고

클러스터 전체 프록시를 사용하는 경우 Kubernetes용 Red Hat Advanced Cluster Security는 해당 프록시 구성을 사용하여 외부 서비스에 연결합니다.

다음 단계

  1. 중앙 설치를 확인합니다.
  2. 선택 사항: 중앙 옵션을 구성합니다.
  3. 중앙 및 SecuredCluster 리소스 간 통신을 허용하는 클러스터 시크릿이 포함된 init 번들을 생성합니다. 이 번들을 다운로드하여 이를 사용하여 보호하려는 클러스터에 리소스를 생성하고 안전하게 저장해야 합니다.
  4. 모니터링하려는 각 클러스터에 보안 클러스터 서비스를 설치합니다.

추가 리소스

2.3.1.4. Operator 방법을 사용하여 중앙 설치 확인

중앙 설치가 완료되면 RHACS 포털에 로그인하여 중앙의 성공적인 설치를 확인합니다.

절차

  1. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator 페이지로 이동합니다.
  2. 설치된 Operator 목록에서 Kubernetes Operator용 Red Hat Advanced Cluster Security를 선택합니다.
  3. 중앙 탭을 선택합니다.
  4. 중앙 목록에서 stackrox-central-services 를 선택하여 세부 정보를 확인합니다.

  5. admin 사용자의 암호를 가져오려면 다음 중 하나를 수행할 수 있습니다.

    • Admin Password Secret Reference (관리 암호 시크릿 참조) 아래의 링크를 클릭합니다.

    • Red Hat OpenShift CLI를 사용하여 Admin Credentials Info 에 나열된 명령을 입력합니다. 

      $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

  6. Red Hat OpenShift CLI 명령을 사용하여 RHACS 포털 링크를 찾습니다. 

    $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

    또는 Kubernetes 웹 콘솔의 Red Hat Advanced Cluster Security for Kubernetes 웹 콘솔을 사용하여 다음 명령을 수행하여 RHACS 포털에 대한 링크를 찾을 수 있습니다.

    1. 네트워킹 경로로 이동합니다.
    2. 중앙 경로를 찾은 후 위치 열에서 RHACS 포털 링크를 클릭합니다.
  7. 사용자 이름 admin 과 이전 단계에서 검색한 암호를 사용하여 RHACS 포털에 로그인합니다. RHACS가 완전히 구성될 때까지(예: Central 리소스와 하나 이상의 SecuredCluster 리소스가 설치되어 구성되어 있음) 대시보드에서 데이터를 사용할 수 없습니다. SecuredCluster 리소스는 중앙 리소스와 동일한 클러스터에 설치 및 구성할 수 있습니다. SecuredCluster 리소스가 있는 클러스터는 RHACM(Red Hat Advanced Cluster Management)의 관리형 클러스터와 유사합니다.

다음 단계

  1. 선택 사항: 중앙 설정을 구성합니다.
  2. 중앙 및 SecuredCluster 리소스 간 통신을 허용하는 클러스터 시크릿이 포함된 init 번들을 생성합니다. 이 번들을 다운로드하여 이를 사용하여 보호하려는 클러스터에 리소스를 생성하고 안전하게 저장해야 합니다.
  3. 모니터링하려는 각 클러스터에 보안 클러스터 서비스를 설치합니다.

2.3.2. Helm 차트를 사용하여 중앙 설치

사용자 정의 없이 Helm 차트를 사용하거나 기본값을 사용하거나 구성 매개변수의 추가 사용자 정의와 함께 Helm 차트를 사용하여 중앙을 설치할 수 있습니다.

2.3.2.1. 사용자 정의 없이 Helm 차트를 사용하여 중앙 설치

사용자 정의 없이 클러스터에 RHACS를 설치할 수 있습니다. Helm 차트 리포지터리를 추가하고 central-services Helm 차트를 설치하여 중앙 및 스캐너의 중앙 집중식 구성 요소를 설치해야 합니다.

2.3.2.1.1. Helm 차트 리포지터리 추가

절차

  • RHACS 차트 리포지터리를 추가합니다. 

    $ helm repo add rhacs https://mirror.openshift.com/pub/rhacs/charts/

Kubernetes용 Red Hat Advanced Cluster Security용 Helm 리포지토리에는 다음을 포함하여 다양한 구성 요소를 설치하기 위한 Helm 차트가 포함되어 있습니다.

  • 중앙 집중식 구성 요소(Central 및 Scanner)를 설치하기 위한 중앙 서비스Helm 차트(중앙 서비스)입니다.

    참고

    중앙 집중식 구성 요소를 한 번만 배포하고 동일한 설치를 사용하여 여러 개의 개별 클러스터를 모니터링할 수 있습니다.

  • 클러스터당(Sensor 및 Admission 컨트롤러) 및 노드별(Collector) 구성 요소를 설치하기 위한 보안 클러스터 서비스 Helm 차트(secured-cluster-services)

    참고

    모니터링할 모든 노드에서 노드별 구성 요소를 모니터링하고 배포하려는 각 클러스터에 클러스터별 구성 요소를 배포합니다.

검증

  • 다음 명령을 실행하여 추가된 차트 리포지터리를 확인합니다. 

    $ helm search repo -l rhacs/
2.3.2.1.2. 사용자 정의 없이 central-services Helm 차트 설치

다음 지침을 사용하여 중앙 서비스 Helm 차트를 설치하여 중앙 집중식 구성 요소(Central 및 Scanner)를 배포합니다.

사전 요구 사항

  • Red Hat Container Registry에 액세스할 수 있어야 합니다. registry.redhat.io 에서 이미지를 다운로드하는 방법에 대한 자세한 내용은 Red Hat Container Registry 인증을 참조하십시오.

절차

  • 다음 명령을 실행하여 중앙 서비스를 설치하고 경로를 사용하여 Central을 노출합니다. 

    $ helm install -n stackrox \
  --create-namespace stackrox-central-services rhacs/central-services \
  --set imagePullSecrets.username=<username> \
  --set imagePullSecrets.password=<password> \
  --set central.exposure.route.enabled=true

  • 또는 다음 명령을 실행하여 중앙 서비스를 설치하고 로드 밸런서를 사용하여 Central을 노출합니다. 

    $ helm install -n stackrox \
  --create-namespace stackrox-central-services rhacs/central-services \
  --set imagePullSecrets.username=<username> \
  --set imagePullSecrets.password=<password> \
  --set central.exposure.loadBalancer.enabled=true

  • 또는 다음 명령을 실행하여 중앙 서비스를 설치하고 포트 전달을 사용하여 Central을 노출합니다. 

    $ helm install -n stackrox \
  --create-namespace stackrox-central-services rhacs/central-services \
    --set imagePullSecrets.username=<username> \
  --set imagePullSecrets.password=<password>
중요

  • 외부 서비스에 연결하기 위해 프록시가 필요한 클러스터에 Red Hat Advanced Cluster Security for Kubernetes를 설치하는 경우 proxyConfig 매개변수를 사용하여 프록시 구성을 지정해야 합니다. 예를 들면 다음과 같습니다. 

    env:
  proxyConfig: |
    url: http://proxy.name:port
    username: username
    password: password
    excludes:
    - some.domain
  • 사용자 이름과 암호를 사용하는 대신 설치할 네임스페이스에 하나 이상의 이미지 풀 시크릿을 이미 생성한 경우 --set imagePullSecrets.useExisting="<pull-secret-1;pull-secret-2>" 를 사용할 수 있습니다.

  • 이미지 풀 시크릿을 사용하지 마십시오.

    • quay.io/stackrox-io 또는 인증이 필요하지 않은 프라이빗 네트워크의 레지스트리에서 이미지를 가져오는 경우. 사용자 이름과 암호를 지정하는 대신 --set imagePullSecrets.allowNone=true 를 사용하십시오.
    • 설치 중인 네임스페이스의 기본 서비스 계정에 이미지 가져오기 보안을 이미 구성한 경우 사용자 이름과 암호를 지정하는 대신 --set imagePullSecrets.useFromDefaultServiceAccount=true 를 사용합니다.

설치 명령 출력에는 다음이 포함됩니다.

  • 자동 생성된 관리자 암호입니다.
  • 모든 구성 값을 저장하는 지침입니다.
  • Helm이 생성하는 경고입니다.

2.3.2.2. 사용자 지정과 함께 Helm 차트를 사용하여 중앙 설치

helm install 및 helm upgrade 명령과 함께 Helm 차트 구성 매개변수를 사용하여 사용자 지정으로 Red Hat OpenShift 클러스터에 RHACS를 설치할 수 있습니다. set 옵션을 사용하거나 YAML 구성 파일을 생성하여 이러한 매개변수를 지정할 수 있습니다.

Kubernetes용 Red Hat Advanced Cluster Security를 설치하기 위해 Helm 차트를 구성하려면 다음 파일을 생성합니다.

  • 공용 설정 파일 값-public.yaml: 이 파일을 사용하여 민감하지 않은 모든 구성 옵션을 저장합니다.
  • 비공개 설정 파일 values-private.yaml: 이 파일을 사용하여 중요한 모든 구성 옵션을 저장합니다. 이 파일을 안전하게 저장하십시오.
2.3.2.2.1. 개인 설정 파일

이 섹션에는 values-private.yaml 파일의 구성 가능한 매개변수가 나열됩니다. 이러한 매개변수에 대한 기본값이 없습니다.

2.3.2.2.1.1. 이미지 풀 시크릿

레지스트리에서 이미지를 가져오는 데 필요한 인증 정보는 다음과 같은 요인에 따라 달라집니다.

  • 사용자 정의 레지스트리를 사용하는 경우 다음 매개변수를 지정해야 합니다.

    • imagePullSecrets.username
    • imagePullSecrets.password
    • image.registry

  • 사용자 정의 레지스트리에 로그인하는 데 사용자 이름과 암호를 사용하지 않는 경우 다음 매개변수 중 하나를 지정해야 합니다.

    • imagePullSecrets.allowNone
    • imagePullSecrets.useExisting
    • imagePullSecrets.useFromDefaultServiceAccount
매개변수설명

imagePullSecrets.username

레지스트리에 로그인하는 데 사용되는 계정의 사용자 이름입니다.

imagePullSecrets.password

레지스트리에 로그인하는 데 사용되는 계정의 암호입니다.

imagePullSecrets.allowNone

사용자 정의 레지스트리를 사용하는 경우 true 를 사용하고 인증 정보 없이 이미지를 가져올 수 있습니다.

imagePullSecrets.useExisting

쉼표로 구분된 시크릿 목록을 값으로 사용합니다. 예를 들면 secret1, secret2, secretN 입니다. 대상 네임스페이스에 지정된 이름으로 기존 이미지 가져오기 보안을 이미 생성한 경우 이 옵션을 사용합니다.

imagePullSecrets.useFromDefaultServiceAccount

충분한 범위가 지정된 이미지 가져오기 보안이 있는 대상 네임스페이스에 기본 서비스 계정을 이미 구성한 경우 true 를 사용합니다.

2.3.2.2.1.2. 프록시 설정

외부 서비스에 연결하기 위해 프록시가 필요한 클러스터에 Red Hat Advanced Cluster Security for Kubernetes를 설치하는 경우 proxyConfig 매개변수를 사용하여 프록시 구성을 지정해야 합니다. 예를 들면 다음과 같습니다. 

env:
  proxyConfig: |
    url: http://proxy.name:port
    username: username
    password: password
    excludes:
    - some.domain
매개변수설명

env.proxyConfig

프록시 설정입니다.

2.3.2.2.1.3. 중앙

중앙에 대한 구성 가능한 매개변수입니다.

새 설치의 경우 다음 매개변수를 생략할 수 있습니다.

  • central.jwtSigner.key
  • central.serviceTLS.cert
  • central.serviceTLS.key
  • central.adminPassword.value
  • central.adminPassword.htpasswd
  • central.db.serviceTLS.cert
  • central.db.serviceTLS.key
  • central.db.password.value
  • 이러한 매개변수에 값을 지정하지 않으면 Helm 차트 값이 자동으로 생성됩니다.
  • 이러한 값을 수정하려면 helm upgrade 명령을 사용하여 --set 옵션을 사용하여 값을 지정할 수 있습니다.
중요

관리자 암호를 설정하는 경우 central.adminPassword.value 또는 central.adminPassword.htpasswd 만 사용할 수 있지만 둘 다 사용할 수는 없습니다.

매개변수설명

central.jwtSigner.key

인증을 위해 Red Hat Advanced Cluster Security for Kubernetes에서 JSON 웹 토큰(JWT) 서명에 사용해야 하는 개인 키입니다.

central.serviceTLS.cert

중앙 서비스에서 Central을 배포하는 데 사용해야 하는 내부 인증서입니다.

central.serviceTLS.key

중앙 서비스에서 사용해야 하는 내부 인증서의 개인 키입니다.

central.defaultTLS.cert

중앙에서 사용해야 하는 사용자용 인증서입니다. Red Hat Advanced Cluster Security for Kubernetes는 RHACS 포털에 이 인증서를 사용합니다.

  • 새 설치의 경우 인증서를 제공해야 합니다. 그러지 않으면 자체 서명된 인증서를 사용하여 Kubernetes용 Red Hat Advanced Cluster Security가 Central을 설치합니다.
  • 업그레이드하는 경우 Red Hat Advanced Cluster Security for Kubernetes는 기존 인증서와 해당 키를 사용합니다.

central.defaultTLS.key

중앙에서 사용해야 하는 사용자용 인증서의 개인 키입니다.

  • 새 설치의 경우 개인 키를 제공해야 합니다. 그렇지 않으면 자체 서명된 인증서를 사용하여 Kubernetes용 Red Hat Advanced Cluster Security가 Central을 설치합니다.
  • 업그레이드하는 경우 Red Hat Advanced Cluster Security for Kubernetes는 기존 인증서와 해당 키를 사용합니다.

central.db.password.value

Central 데이터베이스에 대한 연결 암호입니다.

central.adminPassword.value

Red Hat Advanced Cluster Security for Kubernetes에 로그인하기 위한 관리자 암호입니다.

central.adminPassword.htpasswd

Red Hat Advanced Cluster Security for Kubernetes에 로그인하기 위한 관리자 암호입니다. 이 암호는 bcrypt를 사용하여 해시 형식으로 저장됩니다.

central.db.serviceTLS.cert

중앙 DB를 배포하는 데 사용해야 하는 내부 인증서입니다.

central.db.serviceTLS.key

Central DB 서비스에서 사용해야 하는 내부 인증서의 개인 키입니다.

central.db.password.value

중앙 DB에 연결하는 데 사용되는 암호입니다.

참고

central.adminPassword.htpasswd 매개변수를 사용하는 경우 bcrypt 인코딩 암호 해시를 사용해야 합니다. htpasswd -nB admin 명령을 실행하여 암호 해시를 생성할 수 있습니다. 예를 들면 다음과 같습니다. 

htpasswd: |
  admin:<bcrypt-hash>
2.3.2.2.1.4. scanner

scanner에 대한 구성 가능한 매개변수입니다.

새 설치의 경우 다음 매개변수와 Helm 차트에서 해당 매개변수에 대한 값을 자동으로 생성할 수 있습니다. 그렇지 않으면 새 버전으로 업그레이드하는 경우 다음 매개변수의 값을 지정합니다.

  • scanner.dbPassword.value
  • scanner.serviceTLS.cert
  • scanner.serviceTLS.key
  • scanner.dbServiceTLS.cert
  • scanner.dbServiceTLS.key
매개변수설명

scanner.dbPassword.value

Scanner 데이터베이스와의 인증에 사용할 암호입니다. Kubernetes용 Red Hat Advanced Cluster Security는 내부적으로 값을 자동으로 생성하고 사용하므로 이 매개변수를 수정하지 마십시오.

scanner.serviceTLS.cert

scanner 서비스에서 Scanner를 배포하는 데 사용해야 하는 내부 인증서입니다.

scanner.serviceTLS.key

scanner 서비스에서 사용해야 하는 내부 인증서의 개인 키입니다.

scanner.dbServiceTLS.cert

scanner-db 서비스에서 Scanner 데이터베이스를 배포하는 데 사용해야 하는 내부 인증서입니다.

scanner.dbServiceTLS.key

scanner-db 서비스에서 사용해야 하는 내부 인증서의 개인 키입니다.

2.3.2.2.2. 공용 구성 파일

이 섹션에는 values-public.yaml 파일의 구성 가능한 매개변수가 나열됩니다.

2.3.2.2.2.1. 이미지 풀 시크릿

이미지 풀 보안은 레지스트리에서 이미지를 가져오는 데 필요한 인증 정보입니다.

매개변수설명

imagePullSecrets.allowNone

사용자 정의 레지스트리를 사용하는 경우 true 를 사용하고 인증 정보 없이 이미지를 가져올 수 있습니다.

imagePullSecrets.useExisting

쉼표로 구분된 시크릿 목록을 값으로 사용합니다. 예를 들면 secret1, secret2 입니다. 대상 네임스페이스에 지정된 이름으로 기존 이미지 가져오기 보안을 이미 생성한 경우 이 옵션을 사용합니다.

imagePullSecrets.useFromDefaultServiceAccount

충분한 범위가 지정된 이미지 가져오기 보안이 있는 대상 네임스페이스에 기본 서비스 계정을 이미 구성한 경우 true 를 사용합니다.

2.3.2.2.2.2. Image

이미지는 Helm 차트에서 central.image,scanner.image 및 scanner.dbImage 매개변수의 이미지를 확인하는 데 사용하는 기본 레지스트리를 설정하기 위해 구성을 선언합니다.

매개변수설명

image.registry

이미지 레지스트리의 주소입니다. registry.redhat.io 와 같은 호스트 이름 또는 us.gcr.io/stackrox-mirror 와 같은 원격 레지스트리 호스트 이름을 사용합니다.

2.3.2.2.2.3. 환경 변수

Red Hat Advanced Cluster Security for Kubernetes는 클러스터 환경을 자동으로 감지하고 env.openshift,env.istio 및 env.platform 의 값을 설정합니다. 자동 클러스터 환경 탐지를 재정의하려면 이 값만 설정합니다.

매개변수설명

env.openshift

OpenShift Container Platform 클러스터에 설치하고 자동 클러스터 환경 탐지를 재정의하려면 true 를 사용합니다.

env.istio

Istio가 활성화된 클러스터에 설치하고 자동 클러스터 환경 탐지를 재정의하려면 true 를 사용합니다.

env.platform

Red Hat Advanced Cluster Security for Kubernetes를 설치하는 플랫폼입니다. 클러스터 플랫폼을 지정하고 자동 클러스터 환경 탐지를 재정의하려면 해당 값을 default 또는 gke 로 설정합니다.

env.offlineMode

true 를 사용하여 오프라인 모드에서 Red Hat Advanced Cluster Security for Kubernetes를 사용합니다.

2.3.2.2.2.4. 신뢰할 수 있는 추가 인증 기관

Kubernetes용 Red Hat Advanced Cluster Security는 신뢰할 수 있는 시스템 루트 인증서를 자동으로 참조합니다. 조직의 기관 또는 전역 신뢰할 수 있는 파트너 조직의 인증서를 사용하는 서비스에 중앙 또는 스캐너를 사용해야 하는 경우 다음 매개변수를 사용하여 신뢰할 루트 인증 기관을 지정하여 이러한 서비스에 대한 신뢰를 추가할 수 있습니다.

매개변수설명

additionalCAs.<certificate_name>

신뢰할 루트 인증 기관의 PEM 인코딩 인증서를 지정합니다.

2.3.2.2.2.5. 중앙

중앙에 대한 구성 가능한 매개변수입니다.

  • 영구 스토리지 옵션을 hostPath 또는 persistentVolumeClaim 으로 지정해야 합니다.
  • 외부 액세스를 위해 중앙 배포를 노출합니다. central.exposure.loadBalancer,central.exposure.nodePort, central.exposure.route 중 하나의 매개변수를 지정해야 합니다. 이러한 매개변수에 대한 값을 지정하지 않으면 포트 전달을 사용하여 중앙 관리를 수동으로 노출하거나 액세스해야 합니다.

다음 표에는 외부 PostgreSQL 데이터베이스 설정이 포함되어 있습니다(기술 프리뷰).

중요

외부 PostgreSQL 지원은 기술 프리뷰 기능 전용입니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않으며 기능적으로 완전하지 않을 수 있습니다. 따라서 프로덕션 환경에서 사용하는 것은 권장하지 않습니다. 이러한 기능을 사용하면 향후 제품 기능을 조기에 이용할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.

Red Hat 기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 기술 프리뷰 기능 지원 범위를 참조하십시오.

매개변수설명

central.endpointsConfig

중앙의 끝점 구성 옵션입니다.

central.nodeSelector

노드 선택기에서 테인트된 노드를 선택하는 경우 이 매개변수를 사용하여 중앙에 대한 테인트 허용 오차 키, 값 및 효과를 지정합니다. 이 매개변수는 주로 인프라 노드에 사용됩니다.

central.tolerations

노드 선택기에서 테인트된 노드를 선택하는 경우 이 매개변수를 사용하여 중앙에 대한 테인트 허용 오차 키, 값 및 효과를 지정합니다. 이 매개변수는 주로 인프라 노드에 사용됩니다.

central.exposeMonitoring

포트 번호 9090 에서 중앙에 대한 Prometheus 지표 끝점을 노출하려면 true 를 지정합니다.

central.image.registry

중앙 이미지의 글로벌 image.registry 매개변수를 재정의하는 사용자 정의 레지스트리입니다.

central.image.name

기본 중앙 이미지 이름(기본)을 재정의하는 사용자 지정 이미지 이름입니다.

central.image.tag

중앙 이미지의 기본 태그를 재정의하는 사용자 정의 이미지 태그입니다. 새 설치 중에 자체 이미지 태그를 지정하는 경우 helm upgrade 명령을 실행하여 새 버전으로 업그레이드할 때 이 태그를 수동으로 늘려야 합니다. 자체 레지스트리에서 중앙 이미지를 미러링하는 경우 원래 이미지 태그를 수정하지 마십시오.

central.image.fullRef

중앙 이미지의 레지스트리 주소, 이미지 이름, 이미지 태그를 포함한 전체 참조입니다. 이 매개변수의 값을 설정하면 central.image.registry,central.image.name 및 central.image.tag 매개변수가 재정의됩니다.

central.resources.requests.memory

Central에 기본값을 덮어쓰는 메모리 요청입니다.

central.resources.requests.cpu

중앙에서 기본값을 재정의하는 CPU 요청입니다.

central.resources.limits.memory

중앙에서 기본값을 덮어쓰는 메모리 제한입니다.

central.resources.limits.cpu

중앙에서 기본값을 재정의하는 CPU 제한입니다.

central.persistence.hostPath

RHACS가 데이터베이스 볼륨을 생성해야 하는 노드의 경로입니다. Red Hat은 이 옵션을 사용하는 것을 권장하지 않습니다.

central.persistence.persistentVolumeClaim.claimName

사용 중인 PVC(영구 볼륨 클레임)의 이름입니다.

central.persistence.persistentVolumeClaim.createClaim

true 를 사용하여 기존 클레임을 사용하려면 새 PVC 또는 false 를 생성합니다.

central.persistence.persistentVolumeClaim.size

지정된 클레임에서 관리하는 영구 볼륨의 크기(GiB)입니다.

central.exposure.loadBalancer.enabled

로드 밸런서를 사용하여 Central을 노출하려면 true 를 사용합니다.

central.exposure.loadBalancer.port

중앙에서 노출할 포트 번호입니다. 기본 포트 번호는 443입니다.

central.exposure.nodePort.enabled

노드 포트 서비스를 사용하여 Central을 노출하려면 true 를 사용합니다.

central.exposure.nodePort.port

중앙에서 노출할 포트 번호입니다. 이 매개변수를 건너뛰면 OpenShift Container Platform에서 포트 번호를 자동으로 할당합니다. 노드 포트를 사용하여 Kubernetes용 Red Hat Advanced Cluster Security를 노출하는 경우 포트 번호를 지정하지 않는 것이 좋습니다.

central.exposure.route.enabled

경로를 사용하여 Central을 노출하려면 true 를 사용합니다. 이 매개변수는 OpenShift Container Platform 클러스터에서만 사용할 수 있습니다.

central.db.external

(기술 프리뷰)는 중앙 DB를 배포해서는 안 되고 외부 데이터베이스가 사용될 것임을 지정하는 데 true 를 사용합니다.

central.db.source.connectionString

중앙에서 데이터베이스에 연결하는 데 사용할 연결 문자열입니다.The connection string for Central to use to connect to the database. central.db.external 가 true로 설정된 경우에만 사용됩니다. 연결 문자열은 "ECDHE 리소스"의 PostgreSQL 설명서에 설명된 대로 키워드/값 형식이어야 합니다.

  • PostgreSQL 13만 지원됩니다.
  • PgBouncer를 통한 연결은 지원되지 않습니다.
  • 사용자는 데이터베이스를 만들고 삭제할 수 있는 슈퍼 유저여야 합니다.

central.db.source.minConns

설정할 데이터베이스에 대한 최소 연결 수입니다.

central.db.source.maxConns

설정할 데이터베이스에 대한 최대 연결 수입니다.

central.db.source.statementTimeoutMs

단일 쿼리 또는 트랜잭션이 데이터베이스에 대해 활성 상태일 수 있는 시간(밀리초)입니다.

central.db.postgresConfig

PostgreSQL 설명서의 "ECDHE 리소스"에 설명된 대로 Central DB에 사용할 postgresql.conf입니다.

central.db.hbaConfig

pg_hba.conf는 "ECDHE 리소스"의 PostgreSQL 문서에 설명된 대로 중앙 DB에 사용됩니다.

central.db.nodeSelector

노드 선택기 레이블을 label-key: label-value 로 지정하여 중앙 DB가 지정된 라벨이 있는 노드에서만 예약하도록 합니다.

central.db.image.registry

중앙 DB 이미지의 글로벌 image.registry 매개변수를 재정의하는 사용자 정의 레지스트리입니다.

central.db.image.name

기본 Central DB 이미지 이름(central-db)을 덮어쓰는 사용자 지정 이미지 이름입니다.

central.db.image.tag

Central DB 이미지의 기본 태그를 재정의하는 사용자 정의 이미지 태그입니다. 새 설치 중에 자체 이미지 태그를 지정하는 경우 helm upgrade 명령을 실행하여 새 버전으로 업그레이드할 때 이 태그를 수동으로 늘려야 합니다. 자체 레지스트리에서 중앙 DB 이미지를 미러링하는 경우 원본 이미지 태그를 수정하지 마십시오.

central.db.image.fullRef

중앙 DB 이미지의 레지스트리 주소, 이미지 이름 및 이미지 태그를 포함한 전체 참조입니다. 이 매개변수의 값을 설정하면 central.db.image.registry,central.db.image.name 및 central.db.image.tag 매개변수가 재정의됩니다.

central.db.resources.requests.memory

중앙 DB에 대한 메모리 요청으로 기본값을 덮어씁니다.

central.db.resources.requests.cpu

중앙 DB에 대한 CPU 요청으로 기본값을 덮어씁니다.

central.db.resources.limits.memory

Central DB가 기본값을 재정의하는 경우의 메모리 제한입니다.

central.db.resources.limits.cpu

Central DB가 기본값을 재정의하는 경우의 CPU 제한입니다.

central.db.persistence.hostPath

RHACS가 데이터베이스 볼륨을 생성해야 하는 노드의 경로입니다. Red Hat은 이 옵션을 사용하는 것을 권장하지 않습니다.

central.db.persistence.persistentVolumeClaim.claimName

사용 중인 PVC(영구 볼륨 클레임)의 이름입니다.

central.db.persistence.persistentVolumeClaim.createClaim

true 를 사용하여 새 영구 볼륨 클레임을 생성하거나 기존 클레임을 사용하려면 false 를 사용합니다.

central.db.persistence.persistentVolumeClaim.size

지정된 클레임에서 관리하는 영구 볼륨의 크기(GiB)입니다.

2.3.2.2.2.6. scanner

scanner에 대한 구성 가능한 매개변수입니다.

매개변수설명

scanner.disable

true 를 사용하여 스캐너 없이 Red Hat Advanced Cluster Security for Kubernetes를 설치합니다. helm upgrade 명령과 함께 사용하면 Helm이 기존 scanner 배포를 제거합니다.

scanner.exposeMonitoring

포트 번호 9090 에서 scanner에 대한 Prometheus 지표 끝점을 노출하려면 true 를 지정합니다.

scanner.replicas

Scanner 배포를 위해 생성할 복제본 수입니다. scanner.autoscaling 매개변수와 함께 사용하면 이 값은 초기 복제본 수를 설정합니다.

scanner.logLevel

scanner에 대한 로그 수준을 구성합니다. 로그 수준의 기본값(INFO)을 변경하지 않는 것이 좋습니다.

scanner.nodeSelector

노드 선택기 레이블을 label-key: label-value 로 지정하여 scanner가 지정된 라벨이 있는 노드에서만 예약하도록 합니다.

scanner.tolerations

노드 선택기에서 테인트된 노드를 선택하는 경우 이 매개변수를 사용하여 scanner에 대한 테인트 허용 오차 키, 값 및 효과를 지정합니다. 이 매개변수는 주로 인프라 노드에 사용됩니다.

scanner.autoscaling.disable

true 를 사용하여 scanner 배포에 대한 자동 스케일링을 비활성화합니다. 자동 스케일링을 비활성화하면 minReplicas 및 maxReplicas 매개변수에는 적용되지 않습니다.

scanner.autoscaling.minReplicas

자동 스케일링을 위한 최소 복제본 수입니다.

scanner.autoscaling.maxReplicas

자동 스케일링을 위한 최대 복제본 수입니다.

scanner.resources.requests.memory

스캐너가 기본값을 재정의하도록 요청하는 메모리 요청입니다.

scanner.resources.requests.cpu

기본값을 재정의하는 스캐너에 대한 CPU 요청입니다.

scanner.resources.limits.memory

스캐너가 기본값을 재정의하는 데 사용되는 메모리 제한입니다.

scanner.resources.limits.cpu

스캐너가 기본값을 재정의하는 CPU 제한입니다.

scanner.dbResources.requests.memory

scanner 데이터베이스 배포에 대한 메모리 요청으로 기본값을 덮어씁니다.

scanner.dbResources.requests.cpu

scanner 데이터베이스 배포에 대한 CPU 요청으로 기본값을 덮어씁니다.

scanner.dbResources.limits.memory

scanner 데이터베이스 배포에 대한 메모리 제한으로 기본값을 덮어씁니다.

scanner.dbResources.limits.cpu

scanner 데이터베이스 배포에 대한 CPU 제한으로 기본값을 덮어씁니다.

scanner.image.registry

스캐너 이미지의 사용자 정의 레지스트리.

scanner.image.name

기본 스캐너 이미지 이름(scanner)을 덮어쓰는 사용자 정의 이미지 이름입니다.

scanner.dbImage.registry

scanner DB 이미지의 사용자 정의 레지스트리.

scanner.dbImage.name

기본 scanner DB 이미지 이름(scanner-db)을 덮어쓰는 사용자 지정 이미지 이름입니다.

scanner.dbNodeSelector

노드 선택기 레이블을 label-key: label-value 로 지정하여 scanner DB가 지정된 라벨이 있는 노드에서만 예약하도록 합니다.

scanner.dbTolerations

노드 선택기에서 테인트된 노드를 선택하는 경우 이 매개변수를 사용하여 scanner DB에 대한 테인트 허용 오차 키, 값 및 효과를 지정합니다. 이 매개변수는 주로 인프라 노드에 사용됩니다.

2.3.2.2.2.7. 사용자 정의

이러한 매개변수를 사용하여 Red Hat Advanced Cluster Security for Kubernetes에서 생성하는 모든 오브젝트에 대한 추가 속성을 지정합니다.

매개변수설명

customize.labels

모든 오브젝트에 연결할 사용자 정의 레이블입니다.

customize.annotations

모든 오브젝트에 연결할 사용자 정의 주석입니다.

customize.podLabels

모든 배포에 연결할 사용자 지정 레이블입니다.

customize.podAnnotations

모든 배포에 연결할 사용자 지정 주석입니다.

customize.envVars

모든 오브젝트의 모든 컨테이너의 사용자 지정 환경 변수.

customize.central.labels

중앙에서 생성하는 모든 오브젝트에 연결할 사용자 지정 레이블입니다.

customize.central.annotations

중앙에서 생성하는 모든 오브젝트에 연결하는 사용자 정의 주석입니다.

customize.central.podLabels

모든 중앙 배포에 연결할 사용자 지정 레이블입니다.

customize.central.podAnnotations

모든 중앙 배포에 연결할 사용자 지정 주석입니다.

customize.central.envVars

모든 중앙 컨테이너에 대한 사용자 지정 환경 변수.

customize.scanner.labels

scanner가 생성하는 모든 오브젝트에 연결할 사용자 지정 레이블입니다.

customize.scanner.annotations

scanner가 생성하는 모든 오브젝트에 연결하는 사용자 정의 주석입니다.

customize.scanner.podLabels

모든 스캐너 배포에 연결할 사용자 지정 레이블입니다.

customize.scanner.podAnnotations

모든 스캐너 배포에 연결할 사용자 지정 주석입니다.

customize.scanner.envVars

모든 스캐너 컨테이너의 사용자 지정 환경 변수

customize.scanner-db.labels

Scanner DB에서 생성하는 모든 오브젝트에 연결할 사용자 지정 레이블입니다.

customize.scanner-db.annotations

Scanner DB에서 생성하는 모든 오브젝트에 연결하는 사용자 정의 주석입니다.

customize.scanner-db.podLabels

모든 스캐너 DB 배포에 연결할 사용자 지정 레이블입니다.

customize.scanner-db.podAnnotations

모든 스캐너 DB 배포에 연결하는 사용자 정의 주석입니다.

customize.scanner-db.envVars

모든 스캐너 DB 컨테이너의 사용자 지정 환경 변수.

또는 다음을 수행할 수도 있습니다.

  • 모든 오브젝트에 대한 레이블 및 주석을 지정하는 customize.other.service/*.labels 및 customize.other.service/*.annotations 매개변수입니다.
  • 또는 특정 서비스 이름(예: customize.other.service/central-loadbalancer.labels 및 customize.other.service/central-loadbalancer.annotations )을 매개변수로 지정하고 해당 값을 설정합니다.
2.3.2.2.2.8. 고급 사용자 정의
중요

이 섹션에 지정된 매개변수는 정보 전용입니다. Red Hat은 수정된 네임스페이스 및 릴리스 이름이 있는 Kubernetes 인스턴스용 Red Hat Advanced Cluster Security for Kubernetes 인스턴스를 지원하지 않습니다.

매개변수설명

allowNonstandardNamespace

true 를 사용하여 기본 네임스페이스 stackrox 이외의 네임스페이스에 Red Hat Advanced Cluster Security for Kubernetes를 배포합니다.

allowNonstandardReleaseName

true 를 사용하여 기본 stackrox-central-services 이외의 릴리스 이름으로 Red Hat Advanced Cluster Security for Kubernetes를 배포합니다.

2.3.2.2.3. central-services Helm 차트 설치

values-public.yaml 및 values-private.yaml 파일을 구성한 후 central-services Helm 차트를 설치하여 중앙 집중식 구성 요소(Central 및 Scanner)를 배포합니다.

절차

  • 다음 명령을 실행합니다. 

    $ helm install -n stackrox --create-namespace \
  stackrox-central-services rhacs/central-services \
  -f <path_to_values_public.yaml> -f <path_to_values_private.yaml> 1
    1
    -f 옵션을 사용하여 YAML 구성 파일의 경로를 지정합니다.

2.3.2.3. central-services Helm 차트를 배포한 후 구성 옵션 변경

central-services Helm 차트를 배포한 후 구성 옵션을 변경할 수 있습니다.

절차

  1. values-public.yaml 및 values-private.yaml 구성 파일을 새 값으로 업데이트합니다.

  2. helm upgrade 명령을 실행하고 -f 옵션을 사용하여 구성 파일을 지정합니다. 

    $ helm upgrade -n stackrox \
  stackrox-central-services rhacs/central-services \
  -f <path_to_values_public.yaml> \
  -f <path_to_values_private.yaml>
    참고

    --set 또는 --set-file 매개변수를 사용하여 구성 값을 지정할 수도 있습니다. 그러나 이러한 옵션은 저장되지 않으며 변경할 때마다 모든 옵션을 수동으로 다시 지정해야 합니다.

2.3.3. roxctl CLI를 사용하여 중앙 설치

주의

프로덕션 환경의 경우 Red Hat은 Operator 또는 Helm 차트를 사용하여 RHACS를 설치하는 것이 좋습니다. 이 방법을 사용해야 하는 특정 설치에 필요한 경우가 아니면 roxctl install 메서드를 사용하지 마십시오.

2.3.3.1. roxctl CLI 설치

Red Hat Advanced Cluster Security for Kubernetes를 설치하려면 바이너리를 다운로드하여 roxctl CLI를 설치해야 합니다. Linux, Windows 또는 macOS에 roxctl 을 설치할 수 있습니다.

2.3.3.1.1. Linux에서 roxctl CLI 설치

다음 절차에 따라 Linux에서 roxctl CLI 바이너리를 설치할 수 있습니다.

절차

  1. 최신 버전의 roxctl CLI를 다운로드합니다. 

    $ curl -O https://mirror.openshift.com/pub/rhacs/assets/4.0.5/bin/Linux/roxctl

  2. roxctl 바이너리를 실행 가능하게 합니다. 

    $ chmod +x roxctl

  3. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

    PATH를 확인하려면 다음 명령을 실행합니다. 

    $ echo $PATH

검증

  • 설치된 roxctl 버전을 확인합니다. 

    $ roxctl version
2.3.3.1.2. macOS에 roxctl CLI 설치

다음 절차에 따라 macOS에서 roxctl CLI 바이너리를 설치할 수 있습니다.

절차

  1. 최신 버전의 roxctl CLI를 다운로드합니다. 

    $ curl -O https://mirror.openshift.com/pub/rhacs/assets/4.0.5/bin/Darwin/roxctl

  2. 바이너리에서 모든 확장 속성을 제거합니다. 

    $ xattr -c roxctl

  3. roxctl 바이너리를 실행 가능하게 합니다. 

    $ chmod +x roxctl

  4. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

    PATH를 확인하려면 다음 명령을 실행합니다. 

    $ echo $PATH

검증

  • 설치된 roxctl 버전을 확인합니다. 

    $ roxctl version
2.3.3.1.3. Windows에 roxctl CLI 설치

다음 절차에 따라 Windows에서 roxctl CLI 바이너리를 설치할 수 있습니다.

절차

  • 최신 버전의 roxctl CLI를 다운로드합니다. 

    $ curl -O https://mirror.openshift.com/pub/rhacs/assets/4.0.5/bin/Windows/roxctl.exe

검증

  • 설치된 roxctl 버전을 확인합니다. 

    $ roxctl version

2.3.3.2. 대화형 설치 프로그램 사용

대화형 설치 프로그램을 사용하여 환경에 필요한 시크릿, 배포 구성 및 배포 스크립트를 생성합니다.

절차

  1. 대화형 설치 명령을 실행합니다. 

    $ roxctl central generate interactive
    중요

    roxctl CLI를 사용하여 Kubernetes용 Red Hat Advanced Cluster Security를 설치하면 기본적으로 이전 버전과의 호환성을 위해 PodSecurityPolicy(PSP) 오브젝트가 생성됩니다. Kubernetes 버전 1.25 이상 또는 OpenShift Container Platform 버전 4.12 이상에 RHACS를 설치하는 경우 PSP 오브젝트 생성을 비활성화해야 합니다. 이를 위해 roxctl central generate 및 roxctl sensor generate 명령에 --enable-pod-security-policies 옵션을 false 로 지정합니다.

  2. Enter 를 눌러 프롬프트에 기본값을 허용하거나 필요에 따라 사용자 지정 값을 입력합니다. 

    Enter path to the backup bundle from which to restore keys and certificates (optional):
Enter PEM cert bundle file (optional): 1
Enter administrator password (default: autogenerated):
Enter orchestrator (k8s, openshift): openshift
Enter the directory to output the deployment bundle to (default: "central-bundle"):
Enter the OpenShift major version (3 or 4) to deploy on (default: "0"): 4
Enter Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
Enter the method of exposing Central (route, lb, np, none) (default: "none"): route 2
Enter main image to use (default: "stackrox.io/main:3.0.61.1"):
Enter whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
Enter whether to enable telemetry (default: "true"):
Enter the deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
Enter Scanner DB image to use (default: "stackrox.io/scanner-db:2.15.2"):
Enter Scanner image to use (default: "stackrox.io/scanner:2.15.2"):
Enter Central volume type (hostpath, pvc): pvc 3
Enter external volume name (default: "stackrox-db"):
Enter external volume size in Gi (default: "100"):
Enter storage class name (optional if you have a default StorageClass configured):
    1
    사용자 정의 TLS 인증서를 추가하려면 PEM 인코딩 인증서의 파일 경로를 제공합니다. 사용자 정의 인증서를 지정하면 대화형 설치 프로그램에서 사용 중인 사용자 정의 인증서에 대한 PEM 개인 키를 입력하라는 메시지도 표시합니다.
    2
    RHACS 포털을 사용하려면 경로, 로드 밸런서 또는 노드 포트를 사용하여 중앙을 노출해야 합니다.
    3
    hostPath 볼륨을 사용하여 OpenShift Container Platform에 Red Hat Advanced Cluster Security for Kubernetes를 설치하려면 SELinux 정책을 수정해야 합니다.
    주의

    OpenShift Container Platform에서 hostPath 볼륨을 사용하려면 호스트와 컨테이너가 공유하는 디렉터리에 대한 액세스를 허용하도록 SELinux 정책을 수정해야 합니다. SELinux는 기본적으로 디렉터리 공유를 차단하기 때문입니다. SELinux 정책을 수정하려면 다음 명령을 실행합니다. 

    $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

    그러나 Red Hat은 OpenShift Container Platform에 설치할 때 PVC를 대신 사용하여 SELinux 정책을 수정하지 않는 것이 좋습니다.

완료되면 설치 프로그램에서 Central을 배포하는 데 필요한 YAML 매니페스트 및 스크립트가 포함된 central-bundle이라는 폴더를 생성합니다. 또한 신뢰할 수 있는 인증 기관, 중앙 및 스캐너를 추가로 배포하기 위해 실행해야 하는 스크립트에 대한 온-스크린 지침 및 프롬프트에 응답할 때 자동 생성된 암호와 함께 RHACS 포털에 로그인하기 위한 인증 지침이 표시됩니다.

2.3.3.3. 중앙 설치 스크립트 실행

대화형 설치 관리자를 실행한 후 setup.sh 스크립트를 실행하여 Central을 설치할 수 있습니다.

절차

  1. setup.sh 스크립트를 실행하여 이미지 레지스트리 액세스를 구성합니다. 

    $ ./central-bundle/central/scripts/setup.sh

  2. 필요한 리소스를 생성합니다. 

    $ oc create -R -f central-bundle/central

  3. 배포 진행 상황을 확인합니다. 

    $ oc get pod -n stackrox -w

  4. Central이 실행된 후 RHACS 포털 IP 주소를 찾아 브라우저에서 엽니다. 프롬프트에 응답할 때 선택한 노출 방법에 따라 다음 방법 중 하나를 사용하여 IP 주소를 가져옵니다.

    노출 방법명령address예제

    경로

    oc -n stackrox get route central

    출력의 HOST/PORT 열의 주소

    https://central-stackrox.example.route

    노드 포트

    oc get node -owide && oc -n stackrox get svc central-loadbalancer

    서비스에 표시된 포트에서 노드의 IP 또는 호스트 이름

    https://198.51.100.0:31489

    로드 밸런서

    oc -n stackrox get svc central-loadbalancer

    서비스에 대해 표시되는 EXTERNAL-IP 또는 호스트 이름 443

    https://192.0.2.0

    없음

    central-bundle/central/scripts/port-forward.sh 8443

    https://localhost:8443

    https://localhost:8443

참고

대화형 설치 중에 자동 생성된 암호를 선택한 경우 다음 명령을 실행하여 중앙에 로그인할 수 있습니다. 

$ cat central-bundle/password
Red Hat logoGithubRedditYoutubeTwitter

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

Red Hat을 사용하는 고객은 신뢰할 수 있는 콘텐츠가 포함된 제품과 서비스를 통해 혁신하고 목표를 달성할 수 있습니다. 최신 업데이트를 확인하세요.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 언어를 교체하기 위해 최선을 다하고 있습니다. 자세한 내용은 다음을 참조하세요.Red Hat 블로그.

Red Hat 소개

Red Hat은 기업이 핵심 데이터 센터에서 네트워크 에지에 이르기까지 플랫폼과 환경 전반에서 더 쉽게 작업할 수 있도록 강화된 솔루션을 제공합니다.

© 2024 Red Hat, Inc.