安装

流程

1. 在 Web 控制台中进入 Operators → OperatorHub 页面。
2. 如果没有显示 Red Hat Advanced Cluster Security for Kubernetes，在 Filter by keyword 框中输入 Advanced Cluster Security 来查找 Red Hat Advanced Cluster Security for Kubernetes Operator。
3. 选择 Red Hat Advanced Cluster Security for Kubernetes Operator 查看详情页。
4. 阅读 Operator 的信息，然后点 Install。

5. 在 Install Operator 页面中：

   • 保留安装模式的默认值 All namespaces on the cluster。
   • 选择要在其中为 Installed namespace 字段安装 Operator 的特定命名空间。在 rhacs-operator 命名空间中安装 Red Hat Advanced Cluster Security for Kubernetes Operator。

   • 为更新批准选择自动或手工。

     如果选择自动更新，当有新版 Operator 可用时，Operator Lifecycle Manager(OLM)会自动升级 Operator 的运行实例。

     如果选择手动更新，则当有新版 Operator 可用时，OLM 会创建更新请求。作为集群管理员，您必须手动批准更新请求，才能将 Operator 更新至最新版本。

     重要

     如果选择手动更新，在更新安装了 Central 的集群中的 RHACS Operator 时，您必须更新所有安全集群中的 RHACS Operator。安装 Central 的安全集群和集群必须具有相同的版本，以确保最佳功能。

6. 点 Install。

流程

1. 在 OpenShift Container Platform web 控制台中进入到 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。

3. 如果您在推荐的命名空间中安装了 Operator，OpenShift Container Platform 会将项目列为 rhacs-operator。选择 Project: rhacs-operator → Create project。

   警告
   • 如果您在不同的命名空间中安装了 Operator，则 OpenShift Container Platform 会显示该命名空间的名称，而不是 rhacs-operator。
   • 您必须在自己的项目中安装 Red Hat Advanced Cluster Security for Kubernetes Central 自定义资源，而不是在 rhacs-operator 和 openshift-operator 项目中安装 Red Hat Advanced Cluster Security for Kubernetes Operator。
4. 输入新项目名称（如 stackrox），然后点 Create。红帽建议使用 stackrox 作为项目名称。
5. 在 Provided APIs 部分下，选择 Central。点 Create Central。

6. 可选：如果您使用声明性配置，在 Configure via: 旁边点 YAML 视图 并添加声明性配置的信息，如下例所示：

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: "<declarative-configs>" 

   1

   
         secrets:
         - name: "<sensitive-declarative-configs>" 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   将 <declarative-configs> 替换为您要使用的配置映射的名称。

   2

   将 <sensitive-declarative-configs> 替换为您要使用的 secret 的名称。

7. 输入您的 Central 自定义资源的名称并添加您要应用的任何标签。否则，接受可用选项的默认值。
8. 点 Create。

后续步骤

1. 验证中央安装。
2. 可选：配置中央选项。
3. 生成包含集群 secret 的 init 捆绑包，它允许在 Central 和 SecuredCluster 资源之间的通信。您需要下载这个捆绑包，使用它来在您要保护的集群中生成资源，并安全地存储它。
4. 在您要监控的每个集群中安装安全集群服务。

流程

1. 在 OpenShift Container Platform web 控制台中进入到 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。

3. 如果您在推荐的命名空间中安装了 Operator，OpenShift Container Platform 会将项目列为 rhacs-operator。选择 Project: rhacs-operator → Create project。

   警告
   • 如果您在不同的命名空间中安装了 Operator，则 OpenShift Container Platform 会显示该命名空间的名称，而不是 rhacs-operator。
   • 您必须在自己的项目中安装 Red Hat Advanced Cluster Security for Kubernetes Central 自定义资源，而不是在 rhacs-operator 和 openshift-operator 项目中安装 Red Hat Advanced Cluster Security for Kubernetes Operator。
4. 输入新项目名称（如 stackrox），然后点 Create。红帽建议使用 stackrox 作为项目名称。

5. 使用 OpenShift Container Platform Web 控制台或终端在部署的命名空间中创建密码 secret。

   • 在 OpenShift Container Platform web 控制台中进入 Workloads → Secrets 页面。使用密钥 password 和值创建一个 Key/Value secret，作为纯文本文件的路径，其中包含调配数据库的超级用户密码。

   • 或者，在终端中运行以下命令：

     $ oc create secret generic external-db-password \ 

     1

     
       --from-file=password=<password.txt> 

     2

     Copy to Clipboard Toggle word wrap

     1

     如果使用 Kubernetes，请输入 kubectl 而不是 oc。

     2

     使用纯文本密码的文件的路径替换 password.txt。

6. 返回到 OpenShift Container Platform Web 控制台中的 Red Hat Advanced Cluster Security for Kubernetes operator 页面。在 Provided APIs 部分下，选择 Central。点 Create Central。
7. 可选：如果您使用声明性配置，在 Configure via: 旁边点 YAML 视图。

8. 添加声明性配置的信息，如下例所示：

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: <declarative-configs> 

   1

   
         secrets:
         - name: <sensitive-declarative-configs> 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   将 <declarative-configs> 替换为您要使用的配置映射的名称。

   2

   将 <sensitive-declarative-configs> 替换为您要使用的 secret 的名称。

9. 输入您的 Central 自定义资源的名称并添加您要应用的任何标签。
10. 进入到 Central Component Settings → Central DB Settings。
11. 对于 Administrator Password，将引用的 secret 指定为 external-db-password （或之前创建的密码的 secret 名称）。
12. 对于 Connection String （技术预览） 以 keyword=value 格式指定连接字符串，例如 host=<host> port=5432 user=postgres sslmode=verify-ca
13. 对于 Persistence → PersistentVolumeClaim → Claim Name，请删除 central-db。

14. 如果需要，您可以指定证书颁发机构，以便在数据基本证书和 Central 之间有信任。要添加此功能，进入 YAML 视图并在顶级 spec 下添加一个 TLS 块，如下例所示：

    spec:
      tls:
        additionalCAs:
        - name: db-ca
          content: |
            <certificate>

    Copy to Clipboard Toggle word wrap
15. 点 Create。

后续步骤

1. 验证中央安装。
2. 可选：配置中央选项。
3. 生成包含集群 secret 的 init 捆绑包，它允许在 Central 和 SecuredCluster 资源之间的通信。您需要下载这个捆绑包，使用它来在您要保护的集群中生成资源，并安全地存储它。
4. 在您要监控的每个集群中安装安全集群服务。

流程

1. 在 OpenShift Container Platform web 控制台中进入到 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。
3. 选择 Central 选项卡。
4. 从 Centrals 列表中，选择 stackrox-central-services 以查看其详细信息。

5. 要获取 admin 用户的密码，您可以：

   • 点 Admin Password Secret Reference 下的链接。

   • 使用 Red Hat OpenShift CLI 进入 Admin Credentials Info 下列出的命令：

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

     Copy to Clipboard Toggle word wrap

6. 使用 Red Hat OpenShift CLI 命令查找到 RHACS 门户的链接：

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   Copy to Clipboard Toggle word wrap

   另外，您可以执行以下命令，使用 Red Hat Advanced Cluster Security for Kubernetes web 控制台查找到 RHACS 门户的链接：

   1. 进入 Networking → Routes。
   2. 找到 central 路由，再点 Location 列下的 RHACS 门户链接。
7. 使用用户名 admin 和密码您在上一步中检索的密码登录 RHACS 门户。在完全配置 RHACS 前（例如，您拥有 Central 资源，并至少安装并配置一个 SecuredCluster 资源），仪表板中没有可用的数据。SecuredCluster 资源可以在与 Central 资源相同的集群中安装和配置。带有 SecuredCluster 资源的集群与 Red Hat Advanced Cluster Management(RHACM)中的受管集群类似。

后续步骤

1. 可选：配置中央设置。
2. 生成包含集群 secret 的 init 捆绑包，它允许在 Central 和 SecuredCluster 资源之间的通信。您需要下载这个捆绑包，使用它来在您要保护的集群中生成资源，并安全地存储它。
3. 在您要监控的每个集群中安装安全集群服务。

流程

1. 使用新值更新 values-public.yaml 和 values-private.yaml 配置文件。

2. 运行 helm upgrade 命令并使用 -f 选项指定配置文件：

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap
   注意

   您还可以使用 --set 或 --set-file 参数指定配置值。但是，这些选项不会被保存，需要您在每次进行更改时手动指定所有选项。

流程

1. 运行交互式 install 命令：

   $ roxctl central generate interactive

   Copy to Clipboard Toggle word wrap
   重要

   使用 roxctl CLI 安装 RHACS 会创建 PodSecurityPolicy (PSP)对象，以便向后兼容。如果要在 Kubernetes 版本 1.25 及更新版本上，或在 OpenShift Container Platform version 4.12 和更新版本上安装 RHACS，则必须禁用 PSP 对象的创建。要做到这一点，对于 roxctl central generate 和 roxctl sensor generate 命令，将 --enable-pod-security-policies 选项设置为 false。

2. 按 Enter 接受提示的默认值或根据需要输入自定义值。以下示例显示了交互式安装程序提示：

   Enter path to the backup bundle from which to restore keys and certificates (optional):
   Enter read templates from local filesystem (default: "false"):
   Enter path to helm templates on your local filesystem (default: "/path"):
   Enter PEM cert bundle file (optional): 

   1

   
   Enter Create PodSecurityPolicy resources (for pre-v1.25 Kubernetes) (default: "true"): 

   2

   
   Enter administrator password (default: autogenerated):
   Enter orchestrator (k8s, openshift):
   Enter default container images settings (development_build, stackrox.io, rhacs, opensource); it controls repositories from where to download the images, image names and tags format (default: "development_build"):
   Enter the directory to output the deployment bundle to (default: "central-bundle"):
   Enter the OpenShift major version (3 or 4) to deploy on (default: "0"):
   Enter whether to enable telemetry (default: "false"):
   Enter central-db image to use (if unset, a default will be used according to --image-defaults):
   Enter Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   Enter the method of exposing Central (route, lb, np, none) (default: "none"): 

   3

   
   Enter main image to use (if unset, a default will be used according to --image-defaults):
   Enter whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   Enter list of secrets to add as declarative configuration mounts in central (default: "[]"): 

   4

   
   Enter list of config maps to add as declarative configuration mounts in central (default: "[]"): 

   5

   
   Enter the deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Enter scanner-db image to use (if unset, a default will be used according to --image-defaults):
   Enter scanner image to use (if unset, a default will be used according to --image-defaults):
   Enter Central volume type (hostpath, pvc): 

   6

   
   Enter external volume name for Central (default: "stackrox-db"):
   Enter external volume size in Gi for Central (default: "100"):
   Enter storage class name for Central (optional if you have a default StorageClass configured):
   Enter external volume name for Central DB (default: "central-db"):
   Enter external volume size in Gi for Central DB (default: "100"):
   Enter storage class name for Central DB (optional if you have a default StorageClass configured):

   Copy to Clipboard Toggle word wrap

   1

   如果要添加自定义 TLS 证书，请提供 PEM 编码证书的文件路径。当您指定自定义证书时，交互式安装程序还会提示您为您要使用的自定义证书提供 PEM 私钥。

   2

   如果您正在运行 Kubernetes 版本 1.25 或更高版本，请将此值设置为 false。

   3

   要使用 RHACS 门户，您必须使用路由（负载均衡器或节点端口）公开中。

   4

   有关使用声明配置进行身份验证和授权的更多信息，请参阅 "Red Hat Advanced Cluster Security for Kubernetes 中的"管理 RBAC"中的为身份验证和授权资源提供配置。

   5

   有关使用声明配置进行身份验证和授权的更多信息，请参阅 "Red Hat Advanced Cluster Security for Kubernetes 中的"管理 RBAC"中的为身份验证和授权资源提供配置。

   6

   如果您计划在带有 hostPath 卷的 OpenShift Container Platform 上安装 Red Hat Advanced Cluster Security for Kubernetes，您必须修改 SELinux 策略。

   警告

   在 OpenShift Container Platform 中，对于 hostPath 卷，您必须修改 SELinux 策略以允许访问主机和容器共享的目录。这是因为 SELinux 默认阻止目录共享。要修改 SELinux 策略，请运行以下命令：

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   Copy to Clipboard Toggle word wrap

   但是，红帽不推荐修改 SELinux 策略，在 OpenShift Container Platform 上安装时使用 PVC。

流程

1. 运行 setup.sh 脚本来配置镜像 registry 访问：

   $ ./central-bundle/central/scripts/setup.sh

   Copy to Clipboard Toggle word wrap

2. 创建所需资源：

   $ oc create -R -f central-bundle/central

   Copy to Clipboard Toggle word wrap

3. 检查部署进度：

   $ oc get pod -n stackrox -w

   Copy to Clipboard Toggle word wrap

4. 在 Central 运行后，找到 RHACS 门户 IP 地址并在浏览器中打开。根据您在回答提示时选择的风险，请使用以下方法之一获取 IP 地址。

   Expand

   公开方法	命令	地址	Example
   Route（路由）	oc -n stackrox get route central	在输出中 HOST/PORT 列下的地址	https://central-stackrox.example.route
   节点端口	oc get node -owide && oc -n stackrox get svc central-loadbalancer	任何节点的 IP 或主机名，在服务显示的端口中	https://198.51.100.0:31489
   Load Balancer	oc -n stackrox get svc central-loadbalancer	在端口 443 上为服务显示 EXTERNAL-IP 或主机名	https://192.0.2.0
   无	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

   Show more

流程

1. 根据您的暴露的方法查找 RHACS 门户地址：

   1. 对于路由：

      $ oc get route central -n stackrox

      Copy to Clipboard Toggle word wrap

   2. 对于负载均衡器：

      $ oc get service central-loadbalancer -n stackrox

      Copy to Clipboard Toggle word wrap

   3. 对于端口转发：

      1. 运行以下命令：

         $ oc port-forward svc/central 18443:443 -n stackrox

         Copy to Clipboard Toggle word wrap
      2. 进入到 https://localhost:18443/。
2. 在 RHACS 门户网站中，进入 Platform Configuration → Integrations。
3. 进入 Authentication Tokens 部分，再点 Cluster Init Bundle。
4. 点 Generate bundle。

5. 为集群 init 捆绑包输入一个名称并点 Generate。

   1. 如果使用 Helm chart 安装，请点 Download Helm Values File 下载生成的捆绑包。
   2. 如果使用 Operator 安装，请点 Download Kubernetes Secret File 下载生成的捆绑包。

后续步骤

1. 通过在安全集群中创建资源来应用 init 捆绑包。
2. 在每个集群中安装安全的集群服务。

流程

1. 在 OpenShift Container Platform web 控制台中进入到 Operators → Installed Operators 页面。
2. 点 RHACS Operator。
3. 从 Operator 详情页面的中央导航菜单中点 Secured Cluster。
4. 点 Create SecuredCluster。

5. 在 Configure via 字段中选择以下选项之一：

   • 表单视图 ：如果要使用屏幕字段配置安全集群且不需要更改任何其他字段，则使用这个选项。
   • YAML 视图 ：使用此视图使用 YAML 文件设置安全集群。YAML 文件显示在窗口中，您可以在其中编辑字段。如果您选择这个选项，请在完成编辑完该文件时，点 Create。
6. 如果使用 Form view，请通过接受或编辑默认名称来输入新项目名称。默认值为 stackrox-secured-cluster-services。
7. 可选：为集群添加任何标签。
8. 输入您的 SecuredCluster 自定义资源的唯一名称。

9. 对于 Central 端点，请输入您的 Central 实例的地址和端口号。例如，如果 Central 位于 https://central.example.com，则将中央端点指定为 central.example.com:443。central.stackrox.svc:443 的默认值只有您在同一集群中安装了安全集群服务和 Central 时才可以正常工作。在配置多个集群时，不要使用默认值。反之，在为每个集群配置 Central Endpoint 值时使用主机名。

   • 只有在您在同一集群中安装安全集群服务和 Central 时，才使用 central.stackrox.svc:443。
10. 接受默认值或配置自定义值（如果需要）。例如，如果您使用自定义证书或不受信任的 CA，您可能需要配置 TLS。
11. 点 Create。

后续步骤

1. 可选：配置其他安全的集群设置。
2. 验证安装。

流程

1. 使用新值更新 values-public.yaml 和 values-private.yaml 配置文件。

2. 运行 helm upgrade 命令并使用 -f 选项指定配置文件：

   $ helm upgrade -n stackrox \
     stackrox-secured-cluster-services rhacs/secured-cluster-services \
     --reuse-values \ 

   1

   
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap

   1

   您必须指定 --reuse-values 参数，否则 Helm upgrade 命令重置所有之前配置的设置。

   注意

   您还可以使用 --set 或 --set-file 参数指定配置值。但是，这些选项不会被保存，需要您在每次进行更改时手动指定所有选项。

流程

1. 在安全集群中，在 RHACS 门户中进入 Platform Configuration → Clusters。
2. 选择 + New Cluster。
3. 为集群指定一个名称。

4. 根据您要部署 Sensor 的位置，为字段提供适当的值。

   • 如果您要在同一集群中部署 Sensor，请接受所有字段的默认值。
   • 如果您要部署到不同的集群中，请将 central.stackrox.svc:443 替换为负载均衡器、节点端口或其他地址，包括端口号，可以被其他集群访问。

   • 如果您使用一个支持非 gRPC 的负载均衡器，如 HAProxy、AWS Application Load Balancer (ALB) 或 AWS Elastic Load Balancing (ELB)，请使用 WebSocket Secure (wss) 协议。使用 ws ：

     • 使用 wss:// 为地址加上前缀。
     • 在地址后添加端口号，例如 ws://stackrox-central.example.com:443。
5. 点 Next 以继续 Sensor 设置。

6. 点 Download YAML File and Keys 下载集群捆绑包（zip 归档）。

   重要

   集群捆绑包 zip 存档包括每个集群的唯一配置和密钥。不要在另一个集群中重复使用相同的文件。

7. 在可以访问受监控的集群的系统中，解压缩并从集群捆绑包中运行 sensor 脚本：

   $ unzip -d sensor sensor-<cluster_name>.zip

   Copy to Clipboard Toggle word wrap

   $ ./sensor/sensor.sh

   Copy to Clipboard Toggle word wrap

   如果您收到部署 Sensor 的所需权限的警告，请按照屏幕说明操作，或与集群管理员联系以获取帮助。

验证

1. 返回 RHACS 门户并检查部署是否成功。如果成功，当在 Platform Configuration → Clusters 中查看集群列表时，集群状态会显示一个绿色勾号和 Healthy 状态。如果您没有看到绿色勾选标记，请使用以下命令检查问题：

   • 在 OpenShift Container Platform 中输入以下命令：

     $ oc get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap

   • 在 Kubernetes 上，输入以下命令：

     $ kubectl get pod -n stackrox -w

     Copy to Clipboard Toggle word wrap
2. 点 Finish 关闭窗口。