5.14. 使用 oc-compliance 插件

流程

1. 提取 oc-compliance 镜像以获取 oc-compliance 二进制文件：

   $ podman run --rm -v ~/.local/bin:/mnt/out:Z registry.redhat.io/compliance/oc-compliance-rhel8:stable /bin/cp /usr/bin/oc-compliance /mnt/out/

   输出示例

   W0611 20:35:46.486903   11354 manifest.go:440] Chose linux/amd64 manifest from the manifest list.

   现在，您可以运行 oc-compliance。

流程

1. 运行：

   $ oc compliance bind [--dry-run] -N <binding name> [-S <scansetting name>] <objtype/objname> [..<objtype/objname>]

   • 如果省略 -S 标志，则使用 Compliance Operator 提供的 default 扫描设置。
   • 对象类型是 Kubernetes 对象类型，可以是 profile 或 tailorprofile。可以提供多个对象。
   • 对象名称是 Kubernetes 资源的名称，如 .metadata.name。

   • 添加 --dry-run 选项，以显示所创建对象的 YAML 文件。

     例如，给定以下配置集和扫描设置：

     $ oc get profile.compliance -n openshift-compliance

     输出示例

     NAME              AGE
     ocp4-cis          9m54s
     ocp4-cis-node     9m54s
     ocp4-e8           9m54s
     ocp4-moderate     9m54s
     ocp4-ncp          9m54s
     rhcos4-e8         9m54s
     rhcos4-moderate   9m54s
     rhcos4-ncp        9m54s
     rhcos4-ospp       9m54s
     rhcos4-stig       9m54s

     $ oc get scansettings -n openshift-compliance

     输出示例

     NAME                 AGE
     default              10m
     default-auto-apply   10m

2. 要将 default 设置应用到 ocp4-cis 和 ocp4-cis-node 配置集，请运行：

   $ oc compliance bind -N my-binding profile/ocp4-cis profile/ocp4-cis-node

   输出示例

   Creating ScanSettingBinding my-binding

   创建 ScanSettingBinding CR 后，绑定配置集开始使用相关设置扫描两个配置集。总体而言，这是开始使用 Compliance Operator 扫描的最快方法。

流程

1. 查看配置集的补救：

   $ oc compliance fetch-fixes profile ocp4-cis -o /tmp

   输出示例

   No fixes to persist for rule 'ocp4-api-server-api-priority-flowschema-catch-all' 1
   No fixes to persist for rule 'ocp4-api-server-api-priority-gate-enabled'
   No fixes to persist for rule 'ocp4-api-server-audit-log-maxbackup'
   Persisted rule fix to /tmp/ocp4-api-server-audit-log-maxsize.yaml
   No fixes to persist for rule 'ocp4-api-server-audit-log-path'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-no-aa'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-node'
   No fixes to persist for rule 'ocp4-api-server-auth-mode-rbac'
   No fixes to persist for rule 'ocp4-api-server-basic-auth'
   No fixes to persist for rule 'ocp4-api-server-bind-address'
   No fixes to persist for rule 'ocp4-api-server-client-ca'
   Persisted rule fix to /tmp/ocp4-api-server-encryption-provider-cipher.yaml
   Persisted rule fix to /tmp/ocp4-api-server-encryption-provider-config.yaml

   1

   当配置集中没有对应的修复规则时会出现 No fixes to persist警告，因为规则无法自动修复，或者没有提供相应的补救。

2. 您可以查看 YAML 文件示例。head 命令将显示前 10 行：

   $ head /tmp/ocp4-api-server-audit-log-maxsize.yaml

   输出示例

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     maximumFileSizeMegabytes: 100

3. 查看扫描后创建的 ComplianceRemediation 对象的补救：

   $ oc get complianceremediations -n openshift-compliance

   输出示例

   NAME                                             STATE
   ocp4-cis-api-server-encryption-provider-cipher   NotApplied
   ocp4-cis-api-server-encryption-provider-config   NotApplied

   $ oc compliance fetch-fixes complianceremediations ocp4-cis-api-server-encryption-provider-cipher -o /tmp

   输出示例

   Persisted compliance remediation fix to /tmp/ocp4-cis-api-server-encryption-provider-cipher.yaml

4. 您可以查看 YAML 文件示例。head 命令将显示前 10 行：

   $ head /tmp/ocp4-cis-api-server-encryption-provider-cipher.yaml

   输出示例

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     encryption:
       type: aescbc