配置

流程

1. 下载 ca-setup.sh 脚本。

   注意
   • 如果要进行新安装，您可以在 central- bundle/central/ scripts / ca-setup.sh 脚本中找到 scripts 目录中的 ca-setup.sh 脚本。
   • 您必须在登录 OpenShift Container Platform 集群的同一终端中运行 ca-setup.sh 脚本。

2. 使 ca-setup.sh 脚本可执行：

   $ chmod +x ca-setup.sh

   Copy to Clipboard Toggle word wrap

3. 添加：

   1. 单个证书，使用 -f （文件）选项：

      $ ./ca-setup.sh -f <certificate>

      Copy to Clipboard Toggle word wrap
      注意
      • 您必须使用 PEM 编码的证书文件（使用任何扩展）。
      • 您还可以使用 -u （更新）选项以及 -f 选项来更新之前添加的任何证书。

   2. 一次性多个证书，移动一个目录中的所有证书，然后使用 -d （目录）选项：

      $ ./ca-setup.sh -d <directory_name>

      Copy to Clipboard Toggle word wrap
      注意
      • 您必须使用带有 .crt 扩展名的 PEM 编码证书文件。
      • 每个文件必须仅包含单个证书。
      • 您还可以使用 -u （更新）选项以及 -d 选项来更新之前添加的任何证书。

流程

1. 点击横幅链接下载 YAML 配置文件，该文件包含一个新的 OpenShift Container Platform secret，包括证书和密钥值。

2. 将新的 YAML 配置文件应用到已安装 Central 的集群。

   $ oc apply -f <secret_file.yaml>

   Copy to Clipboard Toggle word wrap
3. 重启 Central 以应用更改。

流程

1. 点击横幅链接下载 YAML 配置文件，该文件包含一个新的 OpenShift Container Platform secret，包括证书和密钥值。

2. 将新的 YAML 配置文件应用到安装 Scanner 的集群。

   $ oc apply -f <secret_file.yaml>

   Copy to Clipboard Toggle word wrap
3. 重启扫描器以应用更改。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → System Configuration。
2. 在 System Configuration 视图标头中点击 Edit。
3. 在 Login Configuration 部分输入您的登录信息。
4. 要启用登录信息，在 Login Configuration 部分打开切换。
5. 点击 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → System Configuration。
2. 在 System Configuration 视图标头中点击 Edit。
3. 在 Header Configuration 和 Footer Configuration 项中输入标题和页脚文本。
4. 自定义标题和页脚 文本 、大小 和背景 颜色。
5. 要启用标头，在 Header Configuration 部分打开切换。
6. 要启用页脚，打开 Footer Configuration 部分中的切换。
7. 点击 Save。

1. 下载定义。
2. 将定义上传到 Central。

1. 现有 Collector 镜像。
2. 内核支持软件包（如果您已上传一个到中）。
3. 互联网上可用的红帽操作服务器。Collector 使用中央的网络连接来检查并下载探测。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → System Configuration。
2. 在 System Configuration 视图标头中点击 Edit。

3. 在 Data Retention Configuration 项中更新每种数据类型的天数：

   • 所有运行时冲突
   • 已解析 Deploy-Phase Violations
   • 用于删除部署的运行时冲突

   • 镜像没有长部署

     注意

     要永久保存数据类型，请将保留周期设置为 0 天。

4. 点击 Save。

流程

1. 创建补丁并定义 ROX_PLAINTEXT_ENDPOINTS 环境变量：

   $ CENTRAL_PLAINTEXT_PATCH='
   spec:
     template:
       spec:
         containers:
         - name: central
           env:
           - name: ROX_PLAINTEXT_ENDPOINTS
             value: <endpoints_spec> 

   1

   
   '

   Copy to Clipboard Toggle word wrap

   1

   以 < type>@<addr>:<port&gt; 形式的端点规格。详情请查看先决条件部分。

2. 将 ROX_PLAINTEXT_ENDPOINTS 环境变量添加到中央部署中：

   $ oc -n stackrox patch deploy/central -p "$CENTRAL_PLAINTEXT_PATCH"

   Copy to Clipboard Toggle word wrap

流程

1. 在 RHACS 门户，导航到 Platform Configuration → Clusters。

2. 打开 自动升级安全的集群 切换。

   注意

   对于新安装，自动升级安全的集群 切换会被默认启用。

流程

1. 在 RHACS 门户，导航到 Platform Configuration → Clusters。

2. 关闭 自动升级安全的集群 切换。

   注意

   对于新安装，自动升级安全的集群 切换会被默认启用。

流程

1. 在 RHACS 门户，导航到 Platform Configuration → Clusters。
2. 选择您要升级的集群 升级状态列中的 Upgrade available 选项。
3. 要一次升级多个集群，请为您要更新的集群选择 Cluster 列中的复选框。
4. 单击 Upgrade。

流程

1. 将现有的 secret 保存为 YAML 文件：

   $ oc -n stackrox get secret proxy-config \
     -o go-template='{{index .data "config.yaml" | \
     base64decode}}{{"\n"}}' > /tmp/proxy-config.yaml

   Copy to Clipboard Toggle word wrap
2. 编辑 YAML 配置文件中要修改的字段，如在安装过程中配置代理中指定的字段。

3. 保存更改后，运行以下命令替换 secret：

   $ oc -n stackrox create secret generic proxy-config \
     --from-file=config.yaml=/tmp/proxy-config.yaml -o yaml --dry-run | \
     oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
     oc apply -f -

   Copy to Clipboard Toggle word wrap
   重要
   • 您必须至少等待 1 分钟，直到 OpenShift Container Platform 将更改传播到中央和扫描器。
   • 如果在更改代理配置后看到传出连接有任何问题，您必须重启 Central 和 Scanner pod。

流程

1. 从部署捆绑包目录打开配置文件 central/proxy-config-secret.yaml。

   注意

   如果使用 Helm，则配置文件位于 central/templates/proxy-config-secret.yaml 中。

2. 在配置文件中编辑您要修改的字段：

   apiVersion: v1
   kind: Secret
   metadata:
     namespace: stackrox
     name: proxy-config
   type: Opaque
   stringData:
     config.yaml: |- 

   1

   
       # # NOTE: Both central and scanner should be restarted if this secret is changed.
       # # While it is possible that some components will pick up the new proxy configuration
       # # without a restart, it cannot be guaranteed that this will apply to every possible
       # # integration etc.
       # url: http://proxy.name:port 

   2

   
       # username: username 

   3

   
       # password: password 

   4

   
       # # If the following value is set to true, the proxy wil NOT be excluded for the default hosts:
       # # - *.stackrox, *.stackrox.svc
       # # - localhost, localhost.localdomain, 127.0.0.0/8, ::1
       # # - *.local
       # omitDefaultExcludes: false
       # excludes:  # hostnames (may include * components) for which you do not 

   5

   
       # # want to use a proxy, like in-cluster repositories.
       # - some.domain
       # # The following configuration sections allow specifying a different proxy to be used for HTTP(S) connections.
       # # If they are omitted, the above configuration is used for HTTP(S) connections as well as TCP connections.
       # # If only the `http` section is given, it will be used for HTTPS connections as well.
       # # Note: in most cases, a single, global proxy configuration is sufficient.
       # http:
       #   url: http://http-proxy.name:port 

   6

   
       #   username: username 

   7

   
       #   password: password 

   8

   
       # https:
       #   url: http://https-proxy.name:port 

   9

   
       #   username: username 

   10

   
       #   password: password 

   11

   Copy to Clipboard Toggle word wrap

   3 4 7 8 10 11

   添加 用户名和密码 是可选的，在 http 和 https 部分的开头和 https 部分。

   2 6 9

   url 选项支持以下 URL 方案：

   • HTTP:// 用于 HTTP 代理。
   • HTTPS:// 用于启用了 TLS 的 HTTP 代理。
   • socks5:// for a SOCKS5 代理。

   5

   excludes 列表可以包含 DNS 名称（带有或没有 * 通配符）、IP 地址或 CIDR 表示法中的 IP 块（例如 10.0.0.0/8）。无论协议是什么，此列表中的值将应用于所有传出连接。

   1

   stringData 部分中的 |- 行表示配置数据的开头。

   注意

   • 第一次打开文件时，所有值都会被注释掉（使用位于行开头的 # 号）。以双 hash 符号开头的行 # # 包含配置键的解释。
   • 确保在编辑字段时，维护与 config.yaml 相关的两个空格的缩进级别：|- 行。

3. 编辑配置文件后，您可以正常进行安装。更新的配置指示 Red Hat Advanced Cluster Security for Kubernetes 使用在提供的地址和端口号上运行的代理。

流程

1. 在 RHACS 门户，选择 Platform Configuration → System Health。
2. 在 System Health view 标头上，单击 Generate Diagnostic Bundle。
3. 对于 Filter by cluster 下拉菜单，选择您要为其生成诊断数据的集群。
4. 对于 Filter by start time，请指定您要包含诊断数据的日期和时间（以 UTC 格式）。
5. 单击 Download Diagnostic Bundle。

流程

1. 生成 central-bundle 后，打开 ./central-bundle/central/02-endpoints-config.yaml 文件。
2. 在这个文件中，将自定义 YAML 配置添加到密钥 endpoints.yaml 的 data: 部分。确保您为 YAML 配置维护 4 个空间缩进。
3. 照常继续安装说明。Red Hat Advanced Cluster Security for Kubernetes 使用指定的配置。

流程

1. 下载现有的配置映射：

   $ oc -n stackrox get cm/central-endpoints -o go-template='{{index .data "endpoints.yaml"}}'  > <directory_path>/central_endpoints.yaml

   Copy to Clipboard Toggle word wrap
2. 在下载的 central_endpoints.yaml 文件中，指定您的自定义 YAML 配置。

3. 上传并应用修改后的 central_endpoints.yaml 配置文件：

   $ oc -n stackrox create cm central-endpoints --from-file=endpoints.yaml=<directory-path>/central-endpoints.yaml -o yaml --dry-run | \
   oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
   oc apply -f -

   Copy to Clipboard Toggle word wrap
4. 重新启动 Central。

流程

1. 克隆 allow-ext-to-central Kubernetes 网络策略：

   $ oc -n stackrox get networkpolicy.networking.k8s.io/allow-ext-to-central -o yaml > <directory_path>/allow-ext-to-central-custom-port.yaml

   Copy to Clipboard Toggle word wrap
2. 使用它作为创建网络策略的参考，在该策略中指定您要公开的端口号。确保在 YAML 文件的 metadata 部分更改网络策略的名称，使其不会干扰内置的 allow-ext-to-central 策略。

流程

1. 修补服务以公开端口号 9090。

   1. 对 Sensor 服务进行补丁：

      $ oc -n stackrox patch svc/sensor -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}' 

      1

      Copy to Clipboard Toggle word wrap

      1

      如果使用 Kubernetes，请输入 kubectl 而不是 oc。

   2. 对中央服务进行补丁：

      $ oc -n stackrox patch svc/central -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}'

      Copy to Clipboard Toggle word wrap

2. 修改网络策略以允许入口。

   $ oc apply -f - <<EOF 

   1

   
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     labels:
       app.kubernetes.io/name: stackrox
     name: allow-monitoring
     namespace: stackrox
   spec:
     ingress:
     - ports:
       - port: 9090
         protocol: TCP
     podSelector:
       matchExpressions:
       - {key: app, operator: In, values: [central, sensor, collector]}
     policyTypes:
     - Ingress
   EOF

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Generic Webhook 或 Splunk。
3. 填写所需信息并打开 Enable Audit Logging 切换。