업그레이드

절차

1. 다음 명령을 실행하여 OLM 서브스크립션을 삭제합니다.

   • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

     $ oc -n rhacs-operator delete subscription rhacs-operator

   • Kubernetes의 경우 다음 명령을 실행합니다.

     $ kubectl -n rhacs-operator delete subscription rhacs-operator

2. 다음 명령을 실행하여 CSV(클러스터 서비스 버전)를 삭제합니다.

   • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

     $ oc -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

   • Kubernetes의 경우 다음 명령을 실행합니다.

     $ kubectl -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

3. 다음 옵션 중 하나를 선택하여 롤백할 이전 버전을 결정합니다.

   • 현재 Central 인스턴스가 실행 중인 경우 RHACS API를 쿼리하여 다음 명령을 실행하여 롤백 버전을 가져옵니다.

     $ curl -k -s -u <user>:<password> https://<central hostname>/v1/centralhealth/upgradestatus | jq -r .upgradeStatus.forceRollbackTo

   • 현재 Central 인스턴스가 실행되고 있지 않은 경우 다음 단계를 수행합니다.

     참고

     이 절차는 Rillsdb 데이터베이스를 설치할 때 RHACS 릴리스 3.74 및 이전 버전에 만 사용할 수 있습니다.

     1. 다음 명령을 실행하여 중앙 배포가 축소되었는지 확인합니다.

        • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

          $ oc scale -n <central namespace> –replicas=0 deploy/central

        • Kubernetes의 경우 다음 명령을 실행합니다.

          $ kubectl scale -n <central namespace> –replicas=0 deploy/central

     2. 다음 Pod 사양을 YAML 파일로 저장합니다.

        apiVersion: v1
        kind: Pod
        metadata:
          name: get-previous-db-version
        spec:
          containers:
          - name: get-previous-db-version
            image: registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<rollback version>
            command:
            - sh
            args:
            - '-c'
            - "cat /var/lib/stackrox/.previous/migration_version.yaml | grep '^image:' | cut -f 2 -d : | tr -d ' '"
            volumeMounts:
            - name: stackrox-db
              mountPath: /var/lib/stackrox
          volumes:
          - name: stackrox-db
            persistentVolumeClaim:
              claimName: stackrox-db

     3. 저장한 YAML 파일을 사용하여 다음 명령을 실행하여 중앙 네임스페이스에 Pod를 생성합니다.

        • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

          $ oc create -n <central namespace> -f pod.yaml

        • Kubernetes의 경우 다음 명령을 실행합니다.

          $ kubectl create -n <central namespace> -f pod.yaml

     4. Pod 생성이 완료되면 다음 명령을 실행하여 버전을 가져옵니다.

        • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

          $ oc logs -n <central namespace> get-previous-db-version

        • Kubernetes의 경우 다음 명령을 실행합니다.

          $ kubectl logs -n <central namespace> get-previous-db-version

4. central-config.yaml ConfigMap 을 편집하여 다음 명령을 실행하여 maintenance.forceRollBackVersion:<version > 매개변수를 설정합니다.

   • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

     $ oc get configmap -n <central namespace> central-config -o yaml | sed -e "s/forceRollbackVersion: none/forceRollbackVersion: <version>/" | oc -n <central namespace> apply -f -

   • Kubernetes의 경우 다음 명령을 실행합니다.

     $ kubectl get configmap -n <central namespace> central-config -o yaml | sed -e "s/forceRollbackVersion: none/forceRollbackVersion: <version>/" | kubectl -n <central namespace> apply -f -

5. 3단계에 표시된 version 문자열을 이미지 태그로 사용하여 중앙 배포의 이미지를 설정합니다. 예를 들어 다음 명령을 실행합니다.

   • OpenShift Container Platform의 경우 다음 명령을 실행합니다.

     $ oc set image -n <central namespace> deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<version>

   • Kubernetes의 경우 다음 명령을 실행합니다.

     $ kubectl set image -n <central namespace> deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<version>

검증

1. 중앙 Pod가 시작되고 준비 상태인지 확인합니다. Pod가 충돌하는 경우 로그를 확인하여 백업이 복원되었는지 확인합니다. 성공 로그 메시지는 다음 예와 유사합니다.

   Clone to Migrate ".previous", ""

2. 롤백된 백엔드 채널에 Operator를 다시 설치합니다. 예를 들어 3.74.2 는 rhacs-3.74 채널에 설치됩니다.

절차

1. Operator → 설치된 Operator 페이지로 이동합니다.
2. RHACS Operator를 찾아 클릭합니다.
3. Operator 세부 정보 페이지의 작업 목록에서 Operator 제거를 선택합니다. 이 작업 후에 Operator는 실행을 중지하고 더 이상 업데이트가 수신되지 않습니다.

4. 다음 옵션 중 하나를 선택하여 롤백할 이전 버전을 결정합니다.

   • 현재 중앙 인스턴스가 실행 중인 경우 터미널 창에서 다음 명령을 실행하여 RHACS API를 쿼리하여 롤백 버전을 가져올 수 있습니다.

     $ curl -k -s -u <user>:<password> https://<central hostname>/v1/centralhealth/upgradestatus | jq -r .upgradeStatus.forceRollbackTo

   • 다음 단계를 수행하여 Pod를 생성하고 이전 버전을 추출할 수 있습니다.

     참고

     이 절차는 Rillsdb 데이터베이스를 설치할 때 RHACS 릴리스 3.74 및 이전 버전에 만 사용할 수 있습니다.

     1. 워크로드 → 배포 → 중앙 으로 이동합니다.
     2. 배포 세부 정보에서 포드 수 옆에 있는 아래쪽 화살표를 클릭하여 Pod를 축소합니다.

     3. 워크로드 → Pod → Pod 생성 으로 이동하여 다음 예에 표시된 대로 Pod 사양의 내용을 편집기에 붙여넣습니다.

        apiVersion: v1
        kind: Pod
        metadata:
          name: get-previous-db-version
        spec:
          containers:
          - name: get-previous-db-version
            image: registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<rollback version>
            command:
            - sh
            args:
            - '-c'
            - "cat /var/lib/stackrox/.previous/migration_version.yaml | grep '^image:' | cut -f 2 -d : | tr -d ' '"
            volumeMounts:
            - name: stackrox-db
              mountPath: /var/lib/stackrox
          volumes:
          - name: stackrox-db
            persistentVolumeClaim:
              claimName: stackrox-db

     4. 생성을 클릭합니다.
     5. 포드가 생성되면 로그 탭을 클릭하여 버전 문자열을 가져옵니다.

5. 다음 단계를 수행하여 롤백 구성을 업데이트합니다.

   1. 워크로드 → ConfigMaps → central-config 로 이동하여 작업 목록에서 ConfigMap 편집 을 선택합니다.
   2. central-config.yaml 키 값에서 forceRollbackVersion 행을 찾습니다.
   3. none 을 3.73.3 으로 교체한 다음 파일을 저장합니다.

6. 다음 단계를 수행하여 이전 버전으로 중앙을 업데이트합니다.

   1. 워크로드 → 배포 → 중앙 으로 이동하고 작업 목록에서 배포 편집 을 선택합니다.
   2. 이미지 이름을 업데이트한 다음 변경 사항을 저장합니다.

검증

1. 중앙 Pod가 시작되고 준비 상태인지 확인합니다. Pod가 충돌하는 경우 로그를 확인하여 백업이 복원되었는지 확인합니다. 성공 로그 메시지는 다음 예와 유사합니다.

   Clone to Migrate ".previous", ""

2. 롤백된 백엔드 채널에 Operator를 다시 설치합니다. 예를 들어 3.74.2 는 rhacs-3.74 채널에 설치됩니다.

1. central-db Pod의 상태를 확인합니다.

   $ oc -n <namespace> get pod -l app=central-db 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

2. Pod 상태가 Pending 이면 describe 명령을 사용하여 자세한 정보를 가져옵니다.

   $ oc -n <namespace> describe po/<central-db-pod-name> 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

3. FailedScheduling 경고 메시지가 표시될 수 있습니다.

   Type     Reason            Age   From               Message
   ----     ------            ----  ----               -------
   Warning  FailedScheduling  54s   default-scheduler  0/7 nodes are available: 1 Insufficient memory, 3 node(s) had untolerated taint {node-role.kubernetes.io/master: }, 4 Insufficient cpu. preemption: 0/7 nodes are available: 3 Preemption is not helpful for scheduling, 4 No preemption victims found for incoming pod.

4. 이 경고 메시지는 예약된 노드에 Pod의 리소스 요구 사항을 수용하기 위한 메모리가 충분하지 않음을 나타냅니다. 소규모 환경이 있는 경우 노드에서 리소스를 늘리거나 데이터베이스를 지원할 수 있는 더 큰 노드를 추가하는 것이 좋습니다.

   그렇지 않으면 중앙 → db → 리소스의 사용자 정의 리소스에서 central -db Pod에 대한 리소스 요구 사항을 줄이는 것이 좋습니다. 그러나 권장 최소값보다 적은 리소스로 중앙을 실행하면 RHACS의 성능이 저하될 수 있습니다.

절차

1. roxctl CLI의 최신 버전을 다운로드합니다.

   $ curl -O https://mirror.openshift.com/pub/rhacs/assets/4.1.5/bin/Linux/roxctl

2. roxctl 바이너리를 실행 가능하게 만듭니다.

   $ chmod +x roxctl

3. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

   PATH를 확인하려면 다음 명령을 실행합니다.

   $ echo $PATH

절차

1. roxctl CLI의 최신 버전을 다운로드합니다.

   $ curl -O https://mirror.openshift.com/pub/rhacs/assets/4.1.5/bin/Darwin/roxctl

2. 바이너리에서 모든 확장 속성을 제거합니다.

   $ xattr -c roxctl

3. roxctl 바이너리를 실행 가능하게 만듭니다.

   $ chmod +x roxctl

4. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

   PATH를 확인하려면 다음 명령을 실행합니다.

   $ echo $PATH

절차

1. 센서 이미지를 업데이트합니다.

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.1.5 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

2. Compliance 이미지를 업데이트합니다.

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.1.5 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

3. 수집기 이미지를 업데이트합니다.

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.1.5 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

   참고

   수집기 슬림 이미지를 사용하는 경우 다음 명령을 실행합니다.

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-slim-rhel8:{rhacs-version}

4. 승인 제어 이미지를 업데이트합니다.

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.1.5

절차

1. 다음 명령 중 하나를 실행하여 규정 준수 컨테이너를 업데이트합니다.

   • 메트릭이 비활성화된 기본 규정 준수 컨테이너의 경우 다음 명령을 실행합니다.

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

   • Prometheus 지표가 활성화된 규정 준수 컨테이너의 경우 다음 명령을 실행합니다.

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

2. 다음 단계를 수행하여 수집기 DaemonSet(DS)을 업데이트합니다.

   1. 다음 명령을 실행하여 수집기 DS에 새 볼륨 마운트를 추가합니다.

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

   2. 다음 명령을 실행하여 새 NodeScanner 컨테이너를 추가합니다.

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.1.5","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'