升级

流程

1. 在 OpenShift Container Platform Web 控制台中进入 RHACS Operator 页面。
2. 在顶部导航菜单中，选择 Secured Cluster。
3. 点实例名称，如 stackrox-secured-cluster-services。

4. 使用以下方法之一更改设置：

   • 在 Form 视图中，在 Per Node Settings → Collector Settings → Collection 下，选择 CORE_BPF。
   • 点 YAML 打开 YAML 编辑器并找到 spec.perNode.collector.collection 属性。如果值为 KernelModule 或 EBPF，请将其改为 CORE_BPF。
5. 点 Save。

流程

1. 在 OpenShift Container Platform Web 控制台的 Administrator 视角中，进入 Operators → Installed Operators。
2. 点 RHACS Operator。
3. 点 Subscription 标签页。
4. 点 Update Channel 下的更新频道的名称。
5. 选择 stable，然后点 Save。

6. 对于带有 自动批准策略 的订阅，更新会自动开始。返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

   对于采用手动批准策略的订阅，您可以从 Subscription 选项卡中手动批准更新。

流程

1. 删除 Operator Lifecycle Manager (OLM)订阅和集群服务版本(CSV)：

   重要

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

   1. 要删除 OLM 订阅，请运行以下命令：

      $ oc -n rhacs-operator delete subscription rhacs-operator

      Copy to Clipboard Toggle word wrap

      输出示例

      subscription.operators.coreos.com "rhacs-operator" deleted

      Copy to Clipboard Toggle word wrap

   2. 要删除 CSV，请运行以下命令：

      $ oc -n rhacs-operator delete csv -l operators.coreos.com/rhacs-operator.rhacs-operator

      Copy to Clipboard Toggle word wrap

      输出示例

      clusterserviceversion.operators.coreos.com "rhacs-operator.v4.8.4" deleted

      Copy to Clipboard Toggle word wrap

2. 安装 RHACS Operator 的早期版本：

   1. 在 OpenShift Web 控制台中，点 OperatorHub。
   2. 搜索 Advanced Cluster Security for Kubernetes。

   3. 选择并安装 Operator 的早期版本。

      注意

      安装之前的 Operator 版本将 RHACS 回滚到与 Operator 相同的版本。

流程

1. 在 OpenShift Web 控制台中，点 Operators → Installed Operators。
2. 从项目列表中，选择 rhacs-operator。

3. 找到 Advanced Cluster Security for Kubernetes Operator：

   1. 点 overflow 菜单 → Uninstall Operator。

      此时会显示 uninstall Operator 对话框。

   2. 确保删除此 Operator 复选框的所有操作对象实例 是明确的，以避免卸载 Red Hat Advanced Cluster Security for Kubernetes (RHACS)。
   3. 点 Uninstall。

4. 安装早期版本的 RHACS Operator：

   1. 在 OpenShift Web 控制台中，点 OperatorHub。
   2. 搜索 Advanced Cluster Security for Kubernetes。

   3. 选择并安装 Operator 的早期版本。

      注意

      安装之前的 Operator 版本将 RHACS 回滚到与 Operator 相同的版本。

1. 检查 central-db pod 的状态：

   $ oc -n <namespace> get pod -l app=central-db 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 如果 pod 的状态为 Pending，请使用 describe 命令获取更多详细信息：

   $ oc -n <namespace> describe po/<central-db-pod-name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

3. 您可能会看到 FailedScheduling 警告信息：

   Type     Reason            Age   From               Message
   ----     ------            ----  ----               -------
   Warning  FailedScheduling  54s   default-scheduler  0/7 nodes are available: 1 Insufficient memory, 3 node(s) had untolerated taint {node-role.kubernetes.io/master: }, 4 Insufficient cpu. preemption: 0/7 nodes are available: 3 Preemption is not helpful for scheduling, 4 No preemption victims found for incoming pod.

   Copy to Clipboard Toggle word wrap

4. 此警告信息建议调度的节点没有足够的内存来满足 pod 的资源要求。如果您有一个小的环境，请考虑在节点上增加资源，或添加一个可以支持数据库的更大的节点。

   否则，请考虑在 central → db → resources 下的自定义资源中减少 central-db pod 的资源要求。但是，运行比推荐最小值少的资源的中心可能会导致 RHACS 的性能降低。

流程

1. 确定目标操作系统的 roxctl 架构：

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

   Copy to Clipboard Toggle word wrap

2. 下载 roxctl CLI：

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.7.7/bin/Linux/roxctl${arch}"

   Copy to Clipboard Toggle word wrap

3. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

4. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 确定目标操作系统的 roxctl 架构：

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

   Copy to Clipboard Toggle word wrap

2. 下载 roxctl CLI：

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.7.7/bin/Darwin/roxctl${arch}"

   Copy to Clipboard Toggle word wrap

3. 从二进制文件中删除所有扩展属性：

   $ xattr -c roxctl

   Copy to Clipboard Toggle word wrap

4. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

   Copy to Clipboard Toggle word wrap

5. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 要更新 Central 镜像，请运行以下命令：

   $ oc -n stackrox set image deploy/central \
   central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

2. 要更新 Central-db 镜像，请运行以下命令：

   $ oc -n stackrox set image deploy/central-db \
   central-db=registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.7.7 \
   init-db=registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

3. 要更新配置控制器镜像，请运行以下命令：

   $ oc -n stackrox set image deploy/config-controller \
   manager=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

流程

1. 如果已创建了自定义 Scanner 配置，则必须在更新 Scanner 配置文件前应用这些更改：

   1. 要生成扫描器，请运行以下命令：

      $ roxctl -e "$ROX_CENTRAL_ADDRESS" scanner generate

      Copy to Clipboard Toggle word wrap

   2. 要应用 TLS secret YAML 文件，请运行以下命令：

      $ oc apply -f scanner-bundle/scanner/02-scanner-03-tls-secret.yaml

      Copy to Clipboard Toggle word wrap

   3. 要应用 Scanner 配置 YAML 文件，请运行以下命令：

      $ oc apply -f scanner-bundle/scanner/02-scanner-04-scanner-config.yaml

      Copy to Clipboard Toggle word wrap

2. 要更新 Scanner 镜像，请运行以下命令：

   $ oc -n stackrox set image deploy/scanner \
   scanner=registry.redhat.io/advanced-cluster-security/rhacs-scanner-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

3. 要更新 Scanner 数据库镜像，请运行以下命令：

   $ oc -n stackrox set image deploy/scanner-db \
   db=registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.7.7 \
   init-db=registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

流程

1. 更新 Sensor 镜像：

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.7 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 更新 Compliance 镜像：

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.7 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

3. 更新 Collector 镜像：

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.7.7 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

4. 更新准入控制镜像：

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.7.7

   Copy to Clipboard Toggle word wrap

流程

1. 修补 sensor 以确保设置了 POD_NAMESPACE ：

   $ [[ -z "$(oc -n stackrox get deployment sensor -o yaml | grep POD_NAMESPACE)" ]] && oc -n stackrox patch deployment sensor --type=json -p '[{"op":"add","path":"/spec/template/spec/containers/0/env/-","value":{"name":"POD_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}}]'

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，补丁 admission-control 以确保设置了 POD_NAMESPACE ：

   $ [[ -z "$(oc -n stackrox get deployment admission-control -o yaml | grep POD_NAMESPACE)" ]] && oc -n stackrox patch deployment admission-control --type=json -p '[{"op":"add","path":"/spec/template/spec/containers/0/env/-","value":{"name":"POD_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}}]'

   Copy to Clipboard Toggle word wrap

流程

1. 列出在 Central 和所有安全集群中部署的所有 RHACS 服务：

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   Copy to Clipboard Toggle word wrap

   输出示例

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   Copy to Clipboard Toggle word wrap

   在本例中，您可以看到每个 Pod 都有自己的自定义 SCC，这通过 openshift.io/scc 字段指定。

2. 添加所需的角色和角色绑定，以使用 Red Hat OpenShift SCC 而不是 RHACS 自定义 SCC。

   要添加所需的角色和角色绑定，为 Central 集群使用 Red Hat OpenShift SCC，请完成以下步骤：

   1. 创建名为 update-central.yaml 的文件，该文件使用以下内容定义角色和角色绑定资源：

      例 3.1. YAML 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role 

      1

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-central-db-scc 

      2

      
        namespace: stackrox 

      3

      
      Rules: 

      4

      
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/managed-by: Helm
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-central-scc
        namespace: stackrox
      rules:
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: scanner
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: use-scanner-scc
        namespace: stackrox
      rules:
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - nonroot-v2
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 

      5

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.k ubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: central-db-use-scc 

      6

      
        namespace: stackrox
      roleRef: 

      7

      
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-central-db-scc
      subjects: 

      8

      
      - kind: ServiceAccount
        name: central-db
        namespace: stackrox
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: central
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: central-use-scc
        namespace: stackrox
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-central-scc
      subjects:
      - kind: ServiceAccount
        name: central
        namespace: stackrox
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: scanner
           app.kubernetes.io/instance: stackrox-central-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-central-services
           app.kubernetes.io/version: 4.4.0
        name: scanner-use-scc
        namespace: stackrox
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-scanner-scc
      subjects:
      - kind: ServiceAccount
        name: scanner
        namespace: stackrox
      - - -

      Copy to Clipboard Toggle word wrap

      1

      本例中的 Kubernetes 资源的类型 Role。

      2

      角色资源的名称。

      3

      创建角色的命名空间。

      4

      描述角色资源授予权限。

      5

      本例中的 Kubernetes 资源的类型，即 RoleBinding。

      6

      角色绑定资源的名称。

      7

      指定要在同一命名空间中绑定的角色。

      8

      指定绑定到角色的主题。

   2. 运行以下命令，创建 update-central.yaml 文件中指定的角色和角色绑定资源：

      $ oc -n stackrox create -f ./update-central.yaml

      Copy to Clipboard Toggle word wrap

3. 要添加所需的角色和角色绑定，以便将 Red Hat OpenShift SCC 用于所有安全集群，请完成以下步骤：

   1. 创建名为 upgrade-scs.yaml 的文件，该文件使用以下内容定义角色和角色绑定资源：

      例 3.2. YAML 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  

      1

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  

      2

      
        namespace: stackrox 

      3

      
      rules:  

      4

      
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 

      5

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc 

      6

      
        namespace: stackrox
      roleRef: 

      7

      
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: 

      8

      
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      Copy to Clipboard Toggle word wrap

      1

      本例中的 Kubernetes 资源的类型 Role。

      2

      角色资源的名称。

      3

      创建角色的命名空间。

      4

      描述角色资源授予权限。

      5

      本例中的 Kubernetes 资源的类型，即 RoleBinding。

      6

      角色绑定资源的名称。

      7

      指定要在同一命名空间中绑定的角色。

      8

      指定绑定到角色的主题。

   2. 运行以下命令，创建 upgrade-scs.yaml 文件中指定的角色和角色绑定资源：

      $ oc -n stackrox create -f ./update-scs.yaml

      Copy to Clipboard Toggle word wrap
      重要

      您必须在每个安全集群中运行此命令，以创建 upgrade-scs.yaml 文件中指定的角色和角色绑定。

4. 删除特定于 RHACS 的 SCC：

   1. 要删除特定于 Central 集群的 SCC，请运行以下命令：

      $ oc delete scc/stackrox-central scc/stackrox-central-db scc/stackrox-scanner

      Copy to Clipboard Toggle word wrap

   2. 要删除特定于所有安全集群的 SCC，请运行以下命令：

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      Copy to Clipboard Toggle word wrap
      重要

      您必须在每个安全集群中运行此命令，才能删除特定于每个安全集群的 SCC。

流程

1. 在点 Download YAML 文件和密钥 之前，确保为安全集群生成的捆绑包启用了将来的升级。
2. 如果可能，请删除该安全集群并生成一个新的捆绑包，以确保启用了将来的升级。

3. 如果无法重新创建集群，您可以执行以下操作：

   1. 确保服务帐户 sensor-upgrader 存在于与 Sensor 相同的命名空间中。
   2. 确保存在 ClusterRoleBinding （默认 name: &lt ;namespace>:upgrade-sensors），它将 cluster-admin ClusterRole 赋予 sensor-upgrader 服务帐户。

流程

1. 确保 Secured Cluster 可以访问 registry，并拉取镜像 < image_reference:tag >。
2. 确保在安全集群中正确配置了镜像 pull secret。

流程

1. 确保 upgrader 有足够的权限来访问集群对象。如需更多信息，请参阅"Upgrader is missing permissions"。
2. 查看 upgrader 日志以了解更多信息。