第 16 章 对 pod 进行安全漏洞扫描

流程

1. 您可以使用 OpenShift Container Platform Web 控制台安装 Red Hat Quay Container Security Operator：

   1. 在 Web 控制台中，进入到 Operators OperatorHub 并选择 Security。
   2. 选择 Red Hat Quay Container Security Operator Operator，然后选择 Install。
   3. 在 Red Hat Quay Container Security Operator 页面中，选择 Install。Update channel, Installation mode, 和 Update approval 会自动选择。Installed Namespace 字段默认为 openshift-operators。您可以根据需要调整这些设置。
   4. 选择 Install。在 Installed Operators 页中几分钟后会出现 Red Hat Quay Container Security Operator。

   5. 可选： 您可以将自定义证书添加到 Red Hat Quay Container Security Operator。例如，在当前目录中创建一个名为 quay.crt 的证书。然后，运行以下命令将自定义证书添加到 Red Hat Quay Container Security Operator 中：

      $ oc create secret generic container-security-operator-extra-certs --from-file=quay.crt -n openshift-operators

   6. 可选：如果您添加了自定义证书，请重启 Red Hat Quay Container Security Operator pod 以使新证书生效。

2. 另外，您可以使用 CLI 安装 Red Hat Quay Container Security Operator：

   1. 输入以下命令来检索 Container Security Operator 及其频道的最新版本：

      $ oc get packagemanifests container-security-operator \
        -o jsonpath='{range .status.channels[*]}{@.currentCSV} {@.name}{"\n"}{end}' \
        | awk '{print "STARTING_CSV=" $1 " CHANNEL=" $2 }' \
        | sort -nr \
        | head -1

      输出示例

      STARTING_CSV=container-security-operator.v3.8.9 CHANNEL=stable-3.8

   2. 使用上一命令的输出，为 Red Hat Quay Container Security Operator 创建一个 Subscription 自定义资源，并将它保存为 container-security-operator.yaml。例如：

      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: container-security-operator
        namespace: openshift-operators
      spec:
        channel: ${CHANNEL} 1
        installPlanApproval: Automatic
        name: container-security-operator
        source: redhat-operators
        sourceNamespace: openshift-marketplace
        startingCSV: ${STARTING_CSV} 2

      1

      为 spec.channel 参数指定您在上一步中获取的值。

      2

      指定您在上一步中为 spec.startingCSV 参数获取的值。

   3. 输入以下命令应用配置：

      $ oc apply -f container-security-operator.yaml

      输出示例

      subscription.operators.coreos.com/container-security-operator created