9.3. roxctl CLI를 사용하여 RHACS 클라우드 서비스에서 보안 클러스터 수동 업그레이드

프로세스

1. 대상 운영 체제의 roxctl 아키텍처를 확인합니다.

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. roxctl CLI를 다운로드합니다.

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.5.9/bin/Linux/roxctl${arch}"

3. roxctl 바이너리를 실행 가능하게 만듭니다.

   $ chmod +x roxctl

4. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

   PATH를 확인하려면 다음 명령을 실행합니다.

   $ echo $PATH

프로세스

1. 대상 운영 체제의 roxctl 아키텍처를 확인합니다.

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. roxctl CLI를 다운로드합니다.

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.5.9/bin/Darwin/roxctl${arch}"

3. 바이너리에서 모든 확장 속성을 제거합니다.

   $ xattr -c roxctl

4. roxctl 바이너리를 실행 가능하게 만듭니다.

   $ chmod +x roxctl

5. roxctl 바이너리를 PATH 에 있는 디렉터리에 배치합니다.

   PATH를 확인하려면 다음 명령을 실행합니다.

   $ echo $PATH

프로세스

1. 센서 이미지를 업데이트합니다.

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.5.9 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

2. Compliance 이미지를 업데이트합니다.

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.5.9 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

3. 수집기 이미지를 업데이트합니다.

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.5.9 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

   참고

   수집기 슬림 이미지를 사용하는 경우 다음 명령을 실행합니다.

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-slim-rhel8:{rhacs-version}

4. 승인 제어 이미지를 업데이트합니다.

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.5.9

프로세스

1. 모든 보안 클러스터에 배포된 모든 RHACS 서비스를 나열합니다.

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   출력 예

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   이 예에서는 각 Pod에 openshift.io/scc 필드를 통해 지정된 고유한 사용자 지정 SCC가 있음을 확인할 수 있습니다.

2. RHACS 사용자 지정 SCC 대신 Red Hat OpenShift SCC를 사용하는 데 필요한 역할 및 역할 바인딩을 추가합니다.

3. 모든 보안 클러스터에 Red Hat OpenShift SCC를 사용하기 위해 필요한 역할 및 역할 바인딩을 추가하려면 다음 단계를 완료하십시오.

   1. 다음 콘텐츠를 사용하여 역할 및 역할 바인딩 리소스를 정의하는 upgrade-scs.yaml 이라는 파일을 생성합니다.

      예 9.1. YAML 파일의 예

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  1
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  2
        namespace: stackrox 3
      rules:  4
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 5
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc 6
        namespace: stackrox
      roleRef: 7
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: 8
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      1

      Kubernetes 리소스의 유형(이 예에서는 Role ).

      2

      역할 리소스의 이름입니다.

      3

      역할이 생성되는 네임스페이스입니다.

      4

      역할 리소스에서 부여하는 권한에 대해 설명합니다.

      5

      Kubernetes 리소스 유형(이 예에서는 RoleBinding )입니다.

      6

      역할 바인딩 리소스의 이름입니다.

      7

      동일한 네임스페이스에 바인딩할 역할을 지정합니다.

      8

      역할에 바인딩된 주체를 지정합니다.

   2. 다음 명령을 실행하여 upgrade-scs.yaml 파일에 지정된 역할 및 역할 바인딩 리소스를 생성합니다.

      $ oc -n stackrox create -f ./update-scs.yaml

      중요

      upgrade-scs.yaml 파일에 지정된 역할 및 역할 바인딩을 생성하려면 각 보안 클러스터에서 이 명령을 실행해야 합니다.

4. RHACS와 관련된 SCC를 삭제합니다.

   1. 모든 보안 클러스터에 고유한 SCC를 삭제하려면 다음 명령을 실행합니다.

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      중요

      보안된 각 클러스터에서 이 명령을 실행하여 보안된 각 클러스터에 고유한 SCC를 삭제해야 합니다.