安装

流程

1. 在 Web 控制台中，进入 Operators → OperatorHub 页面。
2. 如果没有显示 Red Hat Advanced Cluster Security for Kubernetes，在 Filter by keyword 框中输入 Advanced Cluster Security 来查找 Red Hat Advanced Cluster Security for Kubernetes Operator。
3. 选择 Red Hat Advanced Cluster Security for Kubernetes Operator 查看详情页面。
4. 阅读 Operator 的信息，然后点 Install。

5. 在 Install Operator 页面中：

   • 保留安装模式的默认值 All namespaces on the cluster。
   • 选择要在其中为 Installed namespace 字段安装 Operator 的特定命名空间。在 rhacs-operator 命名空间中安装 Red Hat Advanced Cluster Security for Kubernetes Operator。

   • 为更新批准选择自动或手工。

     如果选择自动更新，当有新版 Operator 可用时，Operator Lifecycle Manager(OLM)会自动升级 Operator 的运行实例。

     如果选择手动更新，则当有新版 Operator 可用时，OLM 会创建更新请求。作为集群管理员，您必须手动批准更新请求，才能将 Operator 更新至最新版本。

     重要

     如果选择手动更新，在更新安装了 Central 的集群中的 RHACS Operator 时，您必须更新所有安全集群中的 RHACS Operator。安装 Central 的安全集群和集群必须具有相同的版本，以确保最佳功能。

6. 点 Install。

流程

1. 在 OpenShift Container Platform web 控制台中进入 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。

3. 如果您在推荐的命名空间中安装了 Operator，OpenShift Container Platform 会将项目列为 rhacs-operator。选择 Project: rhacs-operator → Create project。

   注意
   • 如果在不同的命名空间中安装了 Operator，OpenShift Container Platform 将列出该命名空间的名称，而不是 rhacs-operator。
4. 输入新项目名称（如 stackrox），然后点 Create。红帽建议您使用 stackrox 作为项目名称。
5. 在 Provided APIs 部分下，选择 Central。点 Create Central。

6. 可选：如果您使用声明性配置，在 Configure via: 旁边点 YAML 视图 并添加声明性配置的信息，如下例所示：

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: "<declarative-configs>" 

   1

   
         secrets:
         - name: "<sensitive-declarative-configs>" 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   将 <declarative-configs> 替换为您要使用的配置映射的名称。

   2

   将 <sensitive-declarative-configs> 替换为您要使用的 secret 的名称。

7. 输入您的 Central 自定义资源的名称并添加您要应用的任何标签。否则，接受可用选项的默认值。

8. 您可以为 Central 配置可用选项：

   • 中央组件设置：

     Expand

     设置	描述
     管理员密码	包含管理员密码的 secret。如果您不希望 RHACS 为您生成密码，则使用此字段。
     公开	使用路由、负载均衡器或节点端口公开 Central 的设置。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的 central.exposure.<parameter > 信息。
     面向用户的 TLS 证书 secret	如果要在 Central 中终止 TLS 并提供自定义服务器证书，请使用此字段。
     监控	为 Central 配置监控端点。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的 central.exposeMonitoring 参数。
     Central DB 设置	Central DB 的设置，包括数据持久性。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的 central.db.<parameter > 信息。
     Resources	如果您需要覆盖内存和 CPU 资源的默认设置，请在咨询文档后使用这些字段。如需更多信息，请参阅"安装"章节中的"RHAC"和"推荐资源要求"部分的"默认资源要求"。
     容限（Tolerations）	使用此参数将 Central 配置为仅在特定节点上运行。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的 central.tolerations 参数。
     主机别名	使用此参数配置额外的主机名以在 pod 的主机文件中解析。

     Show more
   • 扫描程序组件 设置： StackRox Scanner 的设置。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的"Scanner"表。

   • 扫描程序 V4 组件 设置： Scanner V4 扫描程序（默认扫描程序）的设置。请参阅"在 Red Hat OpenShift 上安装 RHACS 的 Central 服务"部分中的"Scanner V4"表。

     您可以为 Scanner V4 配置以下选项：

     Expand

     设置	描述
     Indexer	对镜像进行索引并创建发现报告的过程。您可以配置副本、自动扩展、资源和容限。在更改默认资源值前，请参阅"Installation"一章中的"Default resource requirements for RHACS"和"Recommended 资源要求"部分中的"Scanner V4"部分。
     matcher	对来自索引器的报告执行漏洞匹配的过程，与 Scanner V4 DB 中存储的漏洞数据相关。您可以配置副本、自动扩展、资源和容限。在更改默认资源值前，请参阅"Installation"一章中的"Default resource requirements for RHACS"和"Recommended 资源要求"部分中的"Scanner V4"部分。
     DB	存储 Scanner V4 信息的数据库，包括漏洞数据和索引报告。您可以配置持久性、资源和容限。如果使用 Scanner V4，则 Central 集群中需要一个持久性卷声明(PVC)。在安全集群中强烈建议使用 PVC 以获得最佳结果。在更改默认资源值前，请参阅"Installation"一章中的"Default resource requirements for RHACS"和"Recommended 资源要求"部分中的"Scanner V4"部分。

     Show more
   • Egress ：出站网络流量的设置，包括 RHACS 是否应该在线（连接）或离线（断开连接）模式运行。
   • tls: 使用此字段添加额外的可信根证书颁发机构(CA)。

   • 网络 ：要在网络级别提供安全性，RHACS 在安装了 Central 的命名空间中创建默认 NetworkPolicy 资源。要创建和管理自己的网络策略，在 policies 部分选择 Disabled。默认情况下，此选项为 Enabled。

     警告

     禁用创建默认网络策略可能会破坏 RHACS 组件之间的通信。如果禁用创建默认策略，则必须创建自己的网络策略来允许此通信。

   • 高级配置 ：您可以使用这些字段执行以下操作：

     • 指定额外的镜像 pull secret
     • 添加自定义环境变量来为受管 pod 的容器设置
     • 启用 Red Hat OpenShift 监控
9. 点 Create。

后续步骤

1. 验证中央安装。
2. 可选：配置中央选项。
3. 生成包含集群 secret 的 init 捆绑包，它允许在 Central 和 SecuredCluster 资源之间的通信。您需要下载这个捆绑包，使用它来在您要保护的集群中生成资源，并安全地存储它。
4. 在您要监控的每个集群中安装安全集群服务。

流程

1. 创建一个新用户：

   CREATE USER stackrox WITH PASSWORD <password>;

   Copy to Clipboard Toggle word wrap

2. 创建数据库：

   CREATE DATABASE stackrox;

   Copy to Clipboard Toggle word wrap

3. 连接到数据库：

   \connect stackrox

   Copy to Clipboard Toggle word wrap

4. 创建用户模式：

   CREATE SCHEMA stackrox;

   Copy to Clipboard Toggle word wrap

5. （可选）撤销公共的权利：

   REVOKE CREATE ON SCHEMA public FROM PUBLIC;
   REVOKE USAGE ON SCHEMA public FROM PUBLIC;
   REVOKE ALL ON DATABASE stackrox FROM PUBLIC;

   Copy to Clipboard Toggle word wrap

6. 创建角色：

   CREATE ROLE readwrite;

   Copy to Clipboard Toggle word wrap

7. 为角色授予连接权限：

   GRANT CONNECT ON DATABASE stackrox TO readwrite;

   Copy to Clipboard Toggle word wrap

8. 为 readwrite 角色添加所需的权限：

   GRANT USAGE ON SCHEMA stackrox TO readwrite;
   GRANT USAGE, CREATE ON SCHEMA stackrox TO readwrite;
   GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO readwrite;
   GRANT USAGE ON ALL SEQUENCES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT USAGE ON SEQUENCES TO readwrite;

   Copy to Clipboard Toggle word wrap

9. 将 readwrite 角色分配给 stackrox 用户：

   GRANT readwrite TO stackrox;

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Container Platform web 控制台中进入 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。

3. 如果您在推荐的命名空间中安装了 Operator，OpenShift Container Platform 会将项目列为 rhacs-operator。选择 Project: rhacs-operator → Create project。

   警告
   • 如果您在不同的命名空间中安装了 Operator，则 OpenShift Container Platform 会显示该命名空间的名称，而不是 rhacs-operator。
   • 红帽建议在专用项目中安装 Red Hat Advanced Cluster Security for Kubernetes Central 自定义资源。不要在安装 Red Hat Advanced Cluster Security for Kubernetes Operator 的项目中安装它。另外，不要将其安装到任何名称以 kube、openshift 或 redhat 开头的项目中，以及在 istio-system 项目中。
4. 输入新项目名称（如 stackrox），然后点 Create。红帽建议您使用 stackrox 作为项目名称。

5. 使用 OpenShift Container Platform Web 控制台或终端在部署的命名空间中创建密码 secret。

   • 在 OpenShift Container Platform web 控制台中进入 Workloads → Secrets 页面。使用密钥 password 和值创建一个 Key/Value secret，作为纯文本文件的路径，其中包含调配数据库的超级用户密码。

   • 或者，在终端中运行以下命令：

     $ oc create secret generic external-db-password \

     1

     
       --from-file=password=<password.txt> 

     2

     Copy to Clipboard Toggle word wrap

     1

     如果使用 Kubernetes，请输入 kubectl 而不是 oc。

     2

     使用纯文本密码的文件的路径替换 password.txt。

6. 返回到 OpenShift Container Platform Web 控制台中的 Red Hat Advanced Cluster Security for Kubernetes operator 页面。在 Provided APIs 部分下，选择 Central。点 Create Central。
7. 可选：如果您使用声明性配置，在 Configure via: 旁边点 YAML 视图。

8. 添加声明性配置的信息，如下例所示：

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: <declarative-configs> 

   1

   
         secrets:
         - name: <sensitive-declarative-configs> 

   2

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   将 <declarative-configs> 替换为您要使用的配置映射的名称。

   2

   将 <sensitive-declarative-configs> 替换为您要使用的 secret 的名称。

9. 输入您的 Central 自定义资源的名称并添加您要应用的任何标签。
10. 进入 Central Component Settings → Central DB Settings。
11. 对于 Administrator Password，将引用的 secret 指定为 external-db-password （或之前创建的密码的 secret 名称）。
12. 对于 Connection String，以 keyword=value 格式指定连接字符串，例如 host=< host> port=5432 database=stackrox user=stackrox sslmode=verify-ca
13. 对于 Persistence → PersistentVolumeClaim → Claim Name，请删除 central-db。

14. 如果需要，您可以指定证书颁发机构，以便在数据库证书和 Central 之间信任。要添加此功能，进入 YAML 视图并在顶级 spec 下添加一个 TLS 块，如下例所示：

    spec:
      tls:
        additionalCAs:
        - name: db-ca
          content: |
            <certificate>

    Copy to Clipboard Toggle word wrap
15. 点 Create。

后续步骤

1. 验证中央安装。
2. 可选：配置中央选项。
3. 生成包含集群 secret 的 init 捆绑包，它允许在 Central 和 SecuredCluster 资源之间的通信。您需要下载这个捆绑包，使用它来在您要保护的集群中生成资源，并安全地存储它。
4. 在您要监控的每个集群中安装安全集群服务。

流程

1. 在 OpenShift Container Platform web 控制台中进入 Operators → Installed Operators 页面。
2. 从安装的 Operator 列表中选择 Red Hat Advanced Cluster Security for Kubernetes Operator。
3. 选择 Central 选项卡。
4. 从 Centrals 列表中，选择 stackrox-central-services 以查看其详细信息。

5. 要获取 admin 用户的密码，您可以：

   • 点 Admin Password Secret Reference 下的链接。

   • 使用 Red Hat OpenShift CLI 输入 Admin Credentials Info 下列出的命令：

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

     Copy to Clipboard Toggle word wrap

6. 使用 Red Hat OpenShift CLI 命令查找到 RHACS 门户的链接：

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   Copy to Clipboard Toggle word wrap

   另外，您可以执行以下命令，使用 Red Hat Advanced Cluster Security for Kubernetes web 控制台来查找到 RHACS 门户的链接：

   1. 前往 Networking → Routes。
   2. 找到 central 路由，再点 Location 列下的 RHACS 门户链接。
7. 使用用户名 admin 和密码您在上一步中检索的密码登录 RHACS 门户。在完全配置 RHACS 前（例如，您拥有 Central 资源，并至少安装并配置一个 SecuredCluster 资源），仪表板中没有可用的数据。SecuredCluster 资源可以在与 Central 资源相同的集群中安装和配置。使用 SecuredCluster 资源的集群与 Red Hat Advanced Cluster Management (RHACM)中的受管集群类似。

后续步骤

1. 可选：配置中央设置。
2. 生成包含集群 secret 的 init 捆绑包或 CRS，允许 Central 和 SecuredCluster 资源之间的通信。您需要下载此文件，使用它来在您要保护的集群中生成资源，并安全地存储该文件。
3. 在您要监控的每个集群中安装安全集群服务。

流程

1. 使用新值更新 values-public.yaml 和 values-private.yaml 配置文件。

2. 运行 helm upgrade 命令并使用 -f 选项指定配置文件：

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     --reuse-values \

   1

   
     -f <path_to_init_bundle_file \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   Copy to Clipboard Toggle word wrap

   1

   如果您修改了没有包括在 values_public.yaml 和 values_private.yaml 文件中的值，请包含 --reuse-values 参数。

流程

1. 运行交互式 install 命令：

   $ roxctl central generate interactive

   Copy to Clipboard Toggle word wrap
   重要

   使用 roxctl CLI 安装 RHACS 会创建 PodSecurityPolicy (PSP)对象，以便向后兼容。如果要在 Kubernetes 版本 1.25 及更新版本上，或在 OpenShift Container Platform version 4.12 和更新版本上安装 RHACS，则必须禁用 PSP 对象的创建。要做到这一点，对于 roxctl central generate 和 roxctl sensor generate 命令，将 --enable-pod-security-policies 选项设置为 false。

2. 按 Enter 接受提示的默认值或根据需要输入自定义值。以下示例显示了交互式安装程序提示：

   Path to the backup bundle from which to restore keys and certificates (optional):
   PEM cert bundle file (optional): 

   1

   
   Disable the administrator password (only use this if you have already configured an IdP for your instance) (default: "false"):
   Create PodSecurityPolicy resources (for pre-v1.25 Kubernetes) (default: "false"): 

   2

   
   Administrator password (default: autogenerated):
   Orchestrator (k8s, openshift):
   Default container images settings (rhacs, opensource); it controls repositories from where to download the images, image names and tags format (default: "rhacs"):
   The directory to output the deployment bundle to (default: "central-bundle"):
   Whether to enable telemetry (default: "true"):
   The central-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-central-db-rhel8:4.6.0"):
   List of secrets to add as declarative configuration mounts in central (default: "[]"): 

   3

   
   The method of exposing Central (lb, np, none) (default: "none"): 

   4

   
   The main image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.6.0"):
   Whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   List of config maps to add as declarative configuration mounts in central (default: "[]"): 

   5

   
   The deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   The scanner-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-db-rhel8:4.6.0"):
   The scanner image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-rhel8:4.6.0"):
   The scanner-v4-db image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-v4-db-rhel8:4.6.0"):
   The scanner-v4 image to use (if unset, a default will be used according to --image-defaults) (default: "registry.redhat.io/advanced-cluster-security/rhacs-scanner-v4-rhel8:4.6.0"):
   External volume type (hostpath, pvc): hostpath
   Path on the host (default: "/var/lib/stackrox-central"):
   Node selector key (e.g. kubernetes.io/hostname):
   Node selector value:

   Copy to Clipboard Toggle word wrap

   1

   如果要添加自定义 TLS 证书，请提供 PEM 编码证书的文件路径。当您指定自定义证书时，交互式安装程序还会提示您为您要使用的自定义证书提供 PEM 私钥。

   2

   如果您正在运行 Kubernetes 版本 1.25 或更高版本，请将此值设置为 false。

   3

   有关对身份验证和授权使用声明配置的更多信息，请参阅 Red Hat Advanced Cluster Security for Kubernetes 中的"管理 RBAC"中的"Declarative configuration for authentication and authorization resources"。

   4

   要使用 RHACS 门户，您必须使用路由（负载均衡器或节点端口）公开中。

   5

   有关对身份验证和授权使用声明配置的更多信息，请参阅 Red Hat Advanced Cluster Security for Kubernetes 中的"管理 RBAC"中的"Declarative configuration for authentication and authorization resources"。

   警告

   在 OpenShift Container Platform 中，对于 hostPath 卷，您必须修改 SELinux 策略以允许访问主机和容器共享的目录。这是因为 SELinux 默认阻止目录共享。要修改 SELinux 策略，请运行以下命令：

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   Copy to Clipboard Toggle word wrap

   但是，红帽不推荐修改 SELinux 策略，而是在 OpenShift Container Platform 上安装时使用 PVC。

流程

1. 运行 setup.sh 脚本来配置镜像 registry 访问：

   $ ./central-bundle/central/scripts/setup.sh

   Copy to Clipboard Toggle word wrap

2. 创建所需资源：

   $ oc create -R -f central-bundle/central

   Copy to Clipboard Toggle word wrap

3. 检查部署进度：

   $ oc get pod -n stackrox -w

   Copy to Clipboard Toggle word wrap

4. 在 Central 运行后，找到 RHACS 门户 IP 地址并在浏览器中打开。根据您在回答提示时选择的风险，请使用以下方法之一获取 IP 地址。

   Expand

   公开方法	命令	地址	Example
   Route（路由）	oc -n stackrox get route central	在输出中 HOST/PORT 列下的地址	https://central-stackrox.example.route
   节点端口	oc get node -owide && oc -n stackrox get svc central-loadbalancer	任何节点的 IP 或主机名，在服务显示的端口中	https://198.51.100.0:31489
   Load Balancer	oc -n stackrox get svc central-loadbalancer	在端口 443 上为服务显示 EXTERNAL-IP 或主机名	https://192.0.2.0
   无	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

   Show more