升级

流程

1. 在 OpenShift Container Platform web 控制台中进入 RHACS Operator 页面。
2. 在顶部导航菜单中，选择 Secured Cluster。
3. 点实例名称，如 stackrox-secured-cluster-services。

4. 使用以下方法之一：

   • 在 Form view 中，在 Per Node Settings → Collector Settings → Collection 下，选择 EBPF 或 CORE_BPF。
   • 点 YAML 打开 YAML 编辑器，并找到 spec.perNode.collector.collection 属性。如果值为 KernelModule，请将其改为 EBPF 或 CORE_BPF。
5. 点 Save。

流程

1. 运行以下命令来删除 OLM 订阅：

   • 对于 OpenShift Container Platform，运行以下命令：

     $ oc -n rhacs-operator delete subscription rhacs-operator

     Copy to Clipboard Toggle word wrap

   • 对于 Kubernetes，运行以下命令：

     $ kubectl -n rhacs-operator delete subscription rhacs-operator

     Copy to Clipboard Toggle word wrap

2. 运行以下命令来删除集群服务版本 (CSV)：

   • 对于 OpenShift Container Platform，运行以下命令：

     $ oc -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

     Copy to Clipboard Toggle word wrap

   • 对于 Kubernetes，运行以下命令：

     $ kubectl -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

     Copy to Clipboard Toggle word wrap

3. 通过选择以下选项之一来确定您要回滚到的早期版本：

   • 如果当前 Central 实例正在运行，请运行以下命令查询 RHACS API 以获取回滚版本：

     $ curl -k -s -u <user>:<password> https://<central hostname>/v1/centralhealth/upgradestatus | jq -r .upgradeStatus.forceRollbackTo

     Copy to Clipboard Toggle word wrap

   • 如果当前 Central 实例没有运行，请执行以下步骤：

     注意

     这个过程只能在安装 rocksdb 数据库时用于 RHACS 版本 3.74 及更早版本。

     1. 运行以下命令，确保 Central 部署已缩减：

        • 对于 OpenShift Container Platform，运行以下命令：

          $ oc scale -n <central namespace> –replicas=0 deploy/central

          Copy to Clipboard Toggle word wrap

        • 对于 Kubernetes，运行以下命令：

          $ kubectl scale -n <central namespace> –replicas=0 deploy/central

          Copy to Clipboard Toggle word wrap

     2. 将以下 pod 规格保存为 YAML 文件：

        apiVersion: v1
        kind: Pod
        metadata:
          name: get-previous-db-version
        spec:
          containers:
          - name: get-previous-db-version
            image: registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<rollback version>
            command:
            - sh
            args:
            - '-c'
            - "cat /var/lib/stackrox/.previous/migration_version.yaml | grep '^image:' | cut -f 2 -d : | tr -d ' '"
            volumeMounts:
            - name: stackrox-db
              mountPath: /var/lib/stackrox
          volumes:
          - name: stackrox-db
            persistentVolumeClaim:
              claimName: stackrox-db

        Copy to Clipboard Toggle word wrap

     3. 运行以下命令，使用您保存的 YAML 文件在 Central 命名空间中创建 pod：

        • 对于 OpenShift Container Platform，运行以下命令：

          $ oc create -n <central namespace> -f pod.yaml

          Copy to Clipboard Toggle word wrap

        • 对于 Kubernetes，运行以下命令：

          $ kubectl create -n <central namespace> -f pod.yaml

          Copy to Clipboard Toggle word wrap

     4. 创建 pod 后，运行以下命令来获取版本：

        • 对于 OpenShift Container Platform，运行以下命令：

          $ oc logs -n <central namespace> get-previous-db-version

          Copy to Clipboard Toggle word wrap

        • 对于 Kubernetes，运行以下命令：

          $ kubectl logs -n <central namespace> get-previous-db-version

          Copy to Clipboard Toggle word wrap

4. 运行以下命令，编辑 central-config.yaml ConfigMap 以设置 maintenance.forceRollBackVersion:<version> 参数：

   • 对于 OpenShift Container Platform，运行以下命令：

     $ oc get configmap -n <central namespace> central-config -o yaml | sed -e "s/forceRollbackVersion: none/forceRollbackVersion: <version>/" | oc -n <central namespace> apply -f -

     Copy to Clipboard Toggle word wrap

   • 对于 Kubernetes，运行以下命令：

     $ kubectl get configmap -n <central namespace> central-config -o yaml | sed -e "s/forceRollbackVersion: none/forceRollbackVersion: <version>/" | kubectl -n <central namespace> apply -f -

     Copy to Clipboard Toggle word wrap

5. 使用 Step 3 中显示的版本字符串为 Central 部署设置镜像，作为镜像标签。例如，运行以下命令：

   • 对于 OpenShift Container Platform，运行以下命令：

     $ oc set image -n <central namespace> deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<version>

     Copy to Clipboard Toggle word wrap

   • 对于 Kubernetes，运行以下命令：

     $ kubectl set image -n <central namespace> deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<version>

     Copy to Clipboard Toggle word wrap

验证

1. 确保 Central pod 启动并处于 ready 状态。如果 pod 崩溃，请检查日志以查看备份是否已恢复。一个成功的日志消息类似以下示例：

   Clone to Migrate ".previous", ""

   Copy to Clipboard Toggle word wrap
2. 在回滚频道上重新安装 Operator。例如，3.74.2 安装在 rhacs-3.74 频道中。

流程

1. 进入到 Operators → Installed Operators 页面。
2. 找到 RHACS Operator 并点它。
3. 在 Operator Details 页面中，从 Actions 列表中选择 Uninstall Operator。按照此操作，Operator 将停止运行，不再接收更新。

4. 通过选择以下选项之一来确定您要回滚到的早期版本：

   • 如果当前 Central 实例正在运行，您可以通过从终端窗口中运行以下命令来查询 RHACS API 来获取回滚版本：

     $ curl -k -s -u <user>:<password> https://<central hostname>/v1/centralhealth/upgradestatus | jq -r .upgradeStatus.forceRollbackTo

     Copy to Clipboard Toggle word wrap

   • 您可以通过执行以下步骤来创建 pod 并提取之前的版本：

     注意

     这个过程只能在安装 rocksdb 数据库时用于 RHACS 版本 3.74 及更早版本。

     1. 进入到 Workloads → Deployments → central。
     2. 在 Deployment details 下，点 pod 数旁边的向下箭头，以缩减 pod。

     3. 进入到 Workloads → Pods → Create Pod，将 pod 规格的内容粘贴到编辑器中：

        apiVersion: v1
        kind: Pod
        metadata:
          name: get-previous-db-version
        spec:
          containers:
          - name: get-previous-db-version
            image: registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<rollback version>
            command:
            - sh
            args:
            - '-c'
            - "cat /var/lib/stackrox/.previous/migration_version.yaml | grep '^image:' | cut -f 2 -d : | tr -d ' '"
            volumeMounts:
            - name: stackrox-db
              mountPath: /var/lib/stackrox
          volumes:
          - name: stackrox-db
            persistentVolumeClaim:
              claimName: stackrox-db

        Copy to Clipboard Toggle word wrap
     4. 点 Create。
     5. 创建 pod 后，点 Logs 选项卡来获取版本字符串。

5. 通过执行以下步骤更新回滚配置：

   1. 进入到 Workloads → ConfigMaps → central-config，然后从 Actions 列表中选择 Edit ConfigMap。
   2. 在 central-config.yaml 键的值中找到 forceRollbackVersion 行。
   3. 将 none 替换为 3.73.3，然后保存文件。

6. 通过执行以下步骤将 Central 更新至早期版本：

   1. 进入到 Workloads → Deployments → central，然后从 Actions 列表中选择 Edit Deployment。
   2. 更新镜像名称，然后保存更改。

验证

1. 确保 Central pod 启动并处于 ready 状态。如果 pod 崩溃，请检查日志以查看备份是否已恢复。一个成功的日志消息类似以下示例：

   Clone to Migrate ".previous", ""

   Copy to Clipboard Toggle word wrap
2. 在回滚频道上重新安装 Operator。例如，3.74.2 安装在 rhacs-3.74 频道中。

1. 检查 central-db pod 的状态：

   $ oc -n <namespace> get pod -l app=central-db 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 如果 pod 的状态为 Pending，请使用 describe 命令获取更多详细信息：

   $ oc -n <namespace> describe po/<central-db-pod-name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

3. 您可能会看到 FailedScheduling 警告信息：

   Type     Reason            Age   From               Message
   ----     ------            ----  ----               -------
   Warning  FailedScheduling  54s   default-scheduler  0/7 nodes are available: 1 Insufficient memory, 3 node(s) had untolerated taint {node-role.kubernetes.io/master: }, 4 Insufficient cpu. preemption: 0/7 nodes are available: 3 Preemption is not helpful for scheduling, 4 No preemption victims found for incoming pod.

   Copy to Clipboard Toggle word wrap

4. 此警告信息建议调度的节点没有足够的内存来满足 pod 的资源要求。如果您有一个小的环境，请考虑在节点上增加资源，或添加一个可以支持数据库的更大的节点。

   否则，请考虑在 central → db → resources 下的自定义资源中减少 central-db pod 的资源要求。但是，运行比推荐最小值少的资源的中心可能会导致 RHACS 的性能降低。

流程

1. 确定目标操作系统的 roxctl 架构：

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

   Copy to Clipboard Toggle word wrap

2. 下载 roxctl CLI：

   $ curl -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.3.8/bin/Linux/roxctl${arch}"

   Copy to Clipboard Toggle word wrap

3. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

4. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 下载 roxctl CLI：

   $ curl -f -O https://mirror.openshift.com/pub/rhacs/assets/4.3.8/bin/Darwin/roxctl

   Copy to Clipboard Toggle word wrap

2. 从二进制文件中删除所有扩展属性：

   $ xattr -c roxctl

   Copy to Clipboard Toggle word wrap

3. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

4. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 更新 Sensor 镜像：

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.3.8 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 更新 Compliance 镜像：

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.3.8 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

3. 更新 Collector 镜像：

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.3.8 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

   注意

   如果使用 collector slim 镜像，请运行以下命令：

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-slim-rhel8:{rhacs-version}

   Copy to Clipboard Toggle word wrap

4. 更新准入控制镜像：

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.3.8

   Copy to Clipboard Toggle word wrap

流程

1. 检查新 pod 是否已部署。输入以下命令：

   $ oc get deploy,ds -n stackrox -o wide 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 输入以下命令：

   $ oc get pod -n stackrox --watch 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

流程

1. 运行以下命令来更新合规性容器之一。

   • 对于禁用了指标的默认合规容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

   • 对于启用了 Prometheus 指标的合规性容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

2. 通过执行以下步骤更新 Collector DaemonSet (DS)：

   1. 运行以下命令，将新卷挂载添加到 Collector DS 中：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令添加新 NodeScanner 容器：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.3.8","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

      Copy to Clipboard Toggle word wrap