第 4 章 使用准入控制器强制

流程

1. 在 RHACS 门户，导航到 Platform Configuration Clusters。
2. 从列表中选择现有集群，或者选择 + New Cluster。
3. 在集群配置面板中输入集群详情。
4. 红帽建议，如果您计划使用准入控制器强制处理对象创建事件，则只打开 Configure Admission Controller Webhook 以侦听创建 切换。
5. 红帽建议，如果您计划使用准入控制器强制强制处理 更新事件，则只打开 Configure Admission Controller Webhook 以侦听 更新切换。
6. 红帽建议，如果您计划使用准入控制器强制强制处理 pod 执行 和 pod 端口转发事件，则只打开 Enable Admission Controller Webhook 以侦听 exec 和 port-forward 事件。

7. 配置以下选项：

   • 在 对象 Creates 上强制实施 ：这个切换控制准入控制服务的行为。您必须具有 Configure Admission Controller Webhook 才能监听 打开的 Create 切换才能正常工作。
   • 在对象更新 上强制实施 ：此切换控制准入控制服务的行为。您必须具有 Configure Admission Controller Webhook 才能监听打开 updates 切换才能正常工作。
8. 选择 Next。

9. 在 Download files 部分中，选择 Download YAML Files and Keys。

   注意

   在为现有集群启用准入控制器时，如果您对以下几项进行任何更改，

   • 静态配置 部分，您必须下载 YAML 文件并重新部署 Sensor。
   • 动态配置 部分，您可以跳过下载文件和部署，因为 Red Hat Advanced Cluster Security for Kubernetes 会自动同步 Sensor 并应用更改。
10. 选择 Finish。

流程

1. 在 RHACS 门户，导航到 Platform Configuration Clusters。
2. 从列表中选择现有集群，或者选择 + New Cluster。
3. 在集群配置面板中填写集群的详情。
4. 打开 Static Configuration 部分中的 Create Admission Controller Webhook 切换。此设置控制 Kubernetes 还是 OpenShift Container Platform 是否配置为联系带有 AdmissionReview 请求的 Red Hat Advanced Cluster Security for Kubernetes。

5. 红帽建议，如果您计划使用准入控制器强制强制更新，则仅打开 Configure Admission Controller Webhook 以侦听更新 切换。

   注意

   Configure Admission Controller Webhook to listen on updates 选项只在 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.41 及更新版本中可用。

   当您保持关闭时，Red Hat Advanced Cluster Security for Kubernetes 会以 Kubernetes 或 OpenShift Container Platform API 服务器没有发送对象更新事件的方式创建 ValidatingWebhookConfiguration。由于对象更新的卷通常高于对象创建的，因此关闭后会限制准入控制服务的负载。

6. 打开 Dynamic Configuration 部分中的 Enable Admission Controller 切换。此设置控制 Red Hat Advanced Cluster Security for Kubernetes 是否评估策略 ; 如果禁用，则会自动接受所有 AdmissionReview 请求。

7. 配置以下选项：

   • 在更新时强制实施 ：这个切换控制准入控制服务的行为。您必须具有 Configure Admission Controller Webhook 才能监听打开 updates 切换才能正常工作。

     注意

     Enforce on Updates 选项只在 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.41 及更新版本中可用。

   • Timeout ：评估准入检查请求时应等待 Red Hat Advanced Cluster Security for Kubernetes 的最大时间。在启用镜像扫描时，使用它来设置请求超时。如果镜像扫描的运行时间超过指定时间，Red Hat Advanced Cluster Security for Kubernetes 接受了请求。如果镜像违反了适用的策略，其他实施选项（如将部署扩展到零个副本）仍然会被应用。
   • 联系镜像扫描器 ：打开此切换以启用镜像扫描。在启用这个切换前，请参阅镜像扫描的信息。
   • 禁用使用 bypass Annotation ：打开这个切换来禁用准入控制器。
8. 选择 Next。

9. 在 Download files 部分中，选择 Download YAML Files and Keys。

   注意

   在为现有集群启用准入控制器时，如果您对以下几项进行任何更改，

   • 静态配置 部分，您必须下载 YAML 文件并重新部署 Sensor。
   • 动态配置 部分，您可以跳过下载文件和部署，因为 Red Hat Advanced Cluster Security for Kubernetes 会自动同步 Sensor 并应用更改。
10. 选择 Finish。