集成

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分下，选择 通用 Docker Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 端点 ：registry 的地址。
   3. 用户名及密码 .
5. 如果您在连接到 registry 时不使用 TLS 证书，请选择 Disable TLS 证书验证（不安全）。
6. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
7. 选择 Test 以测试与所选 registry 集成是否正常工作。
8. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分下，选择 Amazon ECR。
3. 单击 New integration，或者点击自动生成的集成之一将其打开，然后单击 Edit。

4. 输入或修改以下字段的详情：

   1. 更新已存储的凭据 ：在修改集成时没有更新凭证（如访问密钥和密码）时清除此框。
   2. 集成名称 ：集成的名称。
   3. Registry ID ：registry 的 ID。
   4. 端点 ：registry 的地址。选择 AssumeRole 选项时不启用此字段。
   5. region ：registry 的区域，如 us-west-1。
5. 如果使用 IAM，请选择 Use Container IAM role。否则，清除 Use Container IAM 角色 框，并输入 Access key ID 和 Secret access key。

6. 如果使用 AssumeRole 身份验证，请选择 Use AssumeRole，并输入以下字段的详情：

   1. AssumeRole ID: 要假定的角色 ID。
   2. AssumeRole External ID （可选）：如果您使用 外部 ID 和 AssumeRole，您可以在这里输入它。
7. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
8. 选择 Test 以测试与所选 registry 集成是否正常工作。
9. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分，选择 Google Container Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 键入: 选择 Registry。
   3. 注册表端点 ：registry 的地址。
   4. 项目 ：Google Cloud 项目名称。
   5. 服务账户密钥(JSON) 您的服务帐户密钥进行身份验证。
5. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
6. 选择 Test 以测试与所选 registry 集成是否正常工作。
7. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分下，选择 Google Artifact Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. registry 端点 ：registry 的地址。
   3. 项目 ：Google Cloud 项目名称。
   4. 服务账户密钥(JSON) 您的服务帐户密钥进行身份验证。
5. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
6. 选择 Test 以测试与所选 registry 集成是否正常工作。
7. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分，选择 Microsoft Azure Container Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 端点 ：registry 的地址。
   3. 用户名及密码 .
5. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
6. 选择 Test 以测试与所选 registry 集成是否正常工作。
7. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分，选择 JFrog Artifactory。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 端点 ：registry 的地址。
   3. 用户名及密码 .
5. 如果您在连接到 registry 时不使用 TLS 证书，请选择 Disable TLS 证书验证（不安全）。
6. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
7. 选择 Test 以测试与所选 registry 集成是否正常工作。
8. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分下，选择 Docker Trusted Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 键入: 选择 Registry。
   3. 端点 ：registry 的地址。
   4. 用户名及密码 .
5. 如果您在连接到 registry 时不使用 TLS 证书，请选择 Disable TLS 证书验证（不安全）。
6. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
7. 选择 Test 以测试与所选 registry 集成是否正常工作。
8. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分下，选择 Red Hat Quay.io。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 键入: 选择 Registry。
   3. 端点 ：registry 的地址。
   4. OAuth 令牌
5. 如果您在连接到 registry 时不使用 TLS 证书，请选择 Disable TLS 证书验证（不安全）。
6. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
7. 选择 Test 以测试与所选 registry 集成是否正常工作。
8. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分，选择 IBM Cloud Container Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 端点 ：registry 的地址。
   3. API 密钥.
5. 选择 Test 以测试与所选 registry 集成是否正常工作。
6. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integrations 部分，选择 Red Hat Registry。
3. 单击 New integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. 端点 ：registry 的地址。
   3. 用户名及密码 .
5. 选择 Create integration without testing 来创建集成，而不测试与 registry 的连接。
6. 选择 Test 以测试与所选 registry 集成是否正常工作。
7. 选择 Save。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 使用全局搜索来搜索 Lifecycle Stage:Build。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 单击 + New Policy。
3. 输入策略的 Name。
4. 为策略选择严重性级别： Critical、High, Medium 或 Low。

5. 从 Build、Deploy 或 Runtime 中选择适用于策略的 Lifecycle Stage。您可以选择多个阶段。

   注意

   如果您创建了与 CI 系统集成的新策略，请选择 Build 作为生命周期阶段。

   • 构建时策略适用于镜像字段，如 CVE 和 Dockerfile 指令。
   • 部署时策略可包括所有构建时策略标准。它们也可以拥有集群配置中的数据，如以特权模式运行或挂载 Docker 守护进程套接字。
   • 运行时策略可以包括所有构建时和部署时策略标准，以及运行时进程执行的数据。
6. 在 Description、Rationale 和 Remediation 字段中输入策略的信息。当 CI 验证构建时，会显示这些字段中的数据。因此，包括所有解释策略的信息。
7. 从 Categories 下拉菜单中选择一个类别。

8. 从 Notifications 下拉菜单中选择通知程序，以便在出现此策略违反时接收警报通知。

   注意

   您必须将 Red Hat Advanced Cluster Security for Kubernetes 与通知提供程序（如 webhook、JIRA 或 PagerDuty）集成，以接收警报通知。只有当您集成了任何带有 Red Hat Advanced Cluster Security for Kubernetes 的通知供应商时，通知程序才会显示。

9. 使用 Restrict to Scope，只为特定集群、命名空间或标签启用此策略。您可以添加多个范围，并在 RE2 语法中为命名空间和标签使用正则表达式。
10. 使用 Scope 排除部署、集群、命名空间和标签。此字段表示策略不会应用到您指定的实体。您可以添加多个范围，并在 RE2 语法中为命名空间和标签使用正则表达式。但是，您不能使用正则表达式来选择部署。

11. 对于 排除的镜像（仅限Build Lifecycle），请从列表中选择您不想触发策略违反的所有镜像。

    注意

    排除的镜像(Build Lifecycle) 设置只在您在持续集成系统（构建生命周期阶段）检查镜像时应用。如果您使用此策略检查运行的部署（ Deploy 生命周期阶段）或运行时活动（运行时生命周期阶段）时，它不会生效。

12. 在 Policy Criteria 部分中，配置将触发该策略的属性。
13. 在面板头上选择 Next。
14. 新策略面板显示启用策略时会触发的违反情况。
15. 在面板头上选择 Next。

16. 选择策略的强制行为。强制设置仅适用于您为 Lifecycle Stages 选项选择的各个阶段。选择 ON 强制执行策略并报告违反情况。选择 OFF 仅报告违反情况。

    注意

    各个生命周期阶段的行为都不同。

    • 对于 Build 阶段，当镜像与策略条件匹配时，Red Hat Advanced Cluster Security for Kubernetes 的构建会失败。
    • 对于 Deploy 阶段，Red Hat Advanced Cluster Security for Kubernetes 会阻止创建与策略条件匹配的部署。在进行准入控制器的集群中，Kubernetes 或 OpenShift Container Platform API 服务器会阻断所有不合规的部署。在其他集群中，Red Hat Advanced Cluster Security for Kubernetes 编辑不合规的部署，以防止调度 pod。
    • 对于 Runtime 阶段，Red Hat Advanced Cluster Security for Kubernetes 会停止所有与策略条件匹配的 pod。
    警告

    策略实施可能会影响正在运行的应用程序或开发过程。在启用强制选项前，请告知所有相关人员并计划如何响应自动化执行操作。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 Image Integration 部分，查找突出显示的 Registry 标题。另外，还包括已经为该标题配置的项目数量。

流程

1. 进入 RHACS 门户。
2. 进入 Platform Configuration → Integrations。
3. 向下滚动到 Authentication Tokens 类别，然后单击 API Token。
4. 点 Generate Token。
5. 为令牌输入一个名称，再选择提供所需访问级别的角色（例如，持续集成或 Sensor Creator ）。

6. 点 Generate。

   重要

   复制生成的令牌，并安全地存储它。您将无法再次查看它。

流程

1. 登录到 registry.redhat.io registry。

   $ docker login registry.redhat.io

   Copy to Clipboard Toggle word wrap

2. 拉取 roxctl CLI 的最新容器镜像。

   $ docker pull registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.70.2

   Copy to Clipboard Toggle word wrap

流程

1. 登录 CircleCI 并打开现有项目或创建新项目。
2. 单击 Project Settings。
3. 点 环境变量。

4. 点 Add 变量，创建以下三个环境变量：

   • 名称 ：STACKROX_CENTRAL_HOST - Central 的 DNS 名称或 IP 地址。
   • 名称 ：ROX_API_TOKEN - 访问 Red Hat Advanced Cluster Security for Kubernetes 的 API 令牌。
   • 名称 ：DOCKERHUB_PASSWORD - Docker Hub 帐户的密码。
   • 名称 ：DOCKERHUB_USER - Docker Hub 帐户的用户名。
5. 在所选项目的本地代码存储库的根目录下创建名为 .circleci 的目录，如果您还没有 CircleCI 配置文件。

6. 在 .circleci 目录中创建一个带有以下行的 config.yml 配置文件：

   version: 2
   jobs:
     check-policy-compliance:
       docker:
         - image: 'circleci/node:latest'
           auth:
             username: $DOCKERHUB_USER
             password: $DOCKERHUB_PASSWORD
       steps:
         - checkout
         - run:
             name: Install roxctl
             command: |
                 curl -H "Authorization: Bearer $ROX_API_TOKEN" https://$STACKROX_CENTRAL_HOST:443/api/cli/download/roxctl-linux -o roxctl && chmod +x ./roxctl
         - run:
             name: Scan images for policy deviations and vulnerabilities
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_registry/repo/image_name>" 

   1

   
         - run:
             name: Scan deployment files for policy deviations
             command: |
                 ./roxctl image check --endpoint "$STACKROX_CENTRAL_HOST:443" --image "<your_deployment_file>" 

   2

   
                 # Important note: This step assumes the YAML file you'd like to test is located in the project.
   workflows:
     version: 2
     build_and_test:
       jobs:
         - check-policy-compliance

   Copy to Clipboard Toggle word wrap

   1

   将 <your_registry/repo/image_name& gt; 替换为您的 registry 和镜像路径。

   2

   将 <your_deployment_file > 替换为部署文件的路径。

   注意

   如果您在存储库中已有 CircleCI 的 config.yml 文件，请在现有配置文件中添加一个带有指定详情的新作业部分。

7. 将配置文件提交到存储库后，导航到 CircleCI 仪表板中的 Jobs 队列，以验证构建策略的执行。

流程

1. 配置传入的 webhook 后，在部署 YAML 文件中添加类似如下的注解：

   example.com/slack-webhook: https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX

   Copy to Clipboard Toggle word wrap
2. 当您为 Kubernetes 配置 Red Hat Advanced Cluster Security 时，使用 Label/Annotation Key for Slack Webhook 字段中的注解键 example.com/slack-webhook。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 在 External backup 部分下，点 Google Cloud Storage。
3. 选择您要进行备份的 GCS 存储桶的集成名称。
4. 点 Trigger Backup。

流程

1. 在 Splunk 仪表板中，导航到 Settings → Add Data。
2. 点 Monitor。
3. 在 Add Data 页面中，点 HTTP Event Collector。
4. 为事件收集器输入 Name，然后点 Next >。
5. 接受默认 Input Settings 并点 Review >。
6. 查看事件收集器属性并点击 Submit >。
7. 复制事件 收集器的 Token 值。您需要此令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中配置与 Splunk 集成。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
3. 点 New Integration （添加 图标）。
4. 输入 Integration Name 的名称。
5. 在 HTTP 事件收集器 URL 字段中输入您的 Splunk URL。如果端口号不是 HTTPS，或者 80 代表 HTTP，则必须指定端口号。您还必须在 URL 末尾添加 URL 路径 /services/collector/event。例如： https://<splunk-server-path>:8088/services/collector/event。

6. 在 HTTP Event Collector Token 字段中输入您的令牌。

   注意

   如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，您可以为 Alert 事件指定自定义 Source Type，为 Audit 事件指定 Source Type。

7. 选择 Test （checkmark 图标）以发送测试消息，以验证与 Splunk 集成是否正常工作。
8. 选择 Create (save icon)来创建配置。

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration → Policies。
2. 选择您要为其发送警报的一个或多个策略。
3. 在 Bulk actions 下，选择 Enable notification。

4. 在 Enable notification 窗口中，选择 Splunk notifier。

   注意

   如果您还没有配置任何其他集成，系统会显示一个没有配置通知的消息。

5. 单击 启用。

流程

1. 从 Splunkbase 下载 StackRox Kubernetes 安全平台附加组件。
2. 导航到 Splunk 实例上的 Splunk 主页。
3. 导航到 Apps → Manage Apps。
4. 从文件 中选择 Install app。
5. 在 Upload app 弹出框中，选择 Choose File 并选择 StackRox Kubernetes Security Platform add-on 文件。
6. 点 Upload。
7. 单击 Restart Splunk 并确认重启。
8. 在 Splunk 重启后，从 Apps 菜单中选择 StackRox。
9. 单击 Create New Input。
10. 选择 StackRox Compliance，以拉取合规数据或 StackRox 漏洞管理，从而将漏洞数据拉取到 Splunk 中。
11. 输入 Name 作为输入。
12. 选择 Interval 从 Red Hat Advanced Cluster Security for Kubernetes 中提取数据。例如，每 14400 秒。
13. 选择您要发送数据的 Splunk Index。
14. 对于中央端点，请输入 IP 地址或您的中央实例的名称。
15. 输入您为附加组件生成的 API 令牌。
16. 点击 Add。

流程

1. 在部署 YAML 文件中添加类似于以下内容的注解：

   jira/project-key: <jira_project_key>

   Copy to Clipboard Toggle word wrap
2. 在为 Kubernetes 配置 Red Hat Advanced Cluster Security for Kubernetes 时，使用注解键 jira/project-key 在 Annotation Key for Project 字段中使用注解键 jira/project-key。

流程

1. 在 Red Hat Advanced Cluster Security for Kubernetes 中配置 JIRA 集成时，打开 优先级映射 切换。Red Hat Advanced Cluster Security for Kubernetes 获取 JIRA 项目架构，并自动填充 CRITICAL_SEVERITY、HIGH_SEVERITY、MEDIUM_SEVERITY 字段的值，以及 LOW_SEVERITY 字段。
2. 根据您的 JIRA 项目配置，验证或更新优先级值。
3. 选择 Test （checkmark 图标）来测试与 JIRA 集成是否正常工作。
4. 选择 Create (save icon)来创建配置。