9.3. 使用 roxctl CLI 在 RHACS 云服务中手动升级安全集群

流程

1. 确定目标操作系统的 roxctl 架构：

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. 下载 roxctl CLI：

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.8.5/bin/Linux/roxctl${arch}"

3. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

4. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 确定目标操作系统的 roxctl 架构：

   $ arch="$(uname -m | sed "s/x86_64//")"; arch="${arch:+-$arch}"

2. 下载 roxctl CLI：

   $ curl -L -f -o roxctl "https://mirror.openshift.com/pub/rhacs/assets/4.8.5/bin/Darwin/roxctl${arch}"

3. 从二进制文件中删除所有扩展属性：

   $ xattr -c roxctl

4. 使 roxctl 二进制文件可执行：

   $ chmod +x roxctl

5. 将 roxctl 二进制文件放到 PATH 中的目录中：

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 更新 Sensor 镜像：

   $ oc -n stackrox set image deploy/sensor sensor=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.5 

   1

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

2. 更新 Compliance 镜像：

   $ oc -n stackrox set image ds/collector compliance=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.5 

   1

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

3. 更新 Collector 镜像：

   $ oc -n stackrox set image ds/collector collector=registry.redhat.io/advanced-cluster-security/rhacs-collector-rhel8:4.8.5 

   1

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

4. 更新准入控制镜像：

   $ oc -n stackrox set image deploy/admission-control admission-control=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:4.8.5

流程

1. 列出在所有安全集群中部署的所有 RHACS 服务：

   $ oc -n stackrox describe pods | grep 'openshift.io/scc\|^Name:'

   输出示例

   Name:      admission-control-6f4dcc6b4c-2phwd
              openshift.io/scc: stackrox-admission-control
   #...
   Name:      central-575487bfcb-sjdx8
              openshift.io/scc: stackrox-central
   Name:      central-db-7c7885bb-6bgbd
              openshift.io/scc: stackrox-central-db
   Name:      collector-56nkr
              openshift.io/scc: stackrox-collector
   #...
   Name:      scanner-68fc55b599-f2wm6
              openshift.io/scc: stackrox-scanner
   Name:      scanner-68fc55b599-fztlh
   #...
   Name:      sensor-84545f86b7-xgdwf
              openshift.io/scc: stackrox-sensor
   #...

   在本例中，您可以看到每个 Pod 都有自己的自定义 SCC，这通过 openshift.io/scc 字段指定。

2. 添加所需的角色和角色绑定，以使用 Red Hat OpenShift SCC 而不是 RHACS 自定义 SCC。

3. 要添加所需的角色和角色绑定，以便将 Red Hat OpenShift SCC 用于所有安全集群，请完成以下步骤：

   1. 创建名为 upgrade-scs.yaml 的文件，该文件使用以下内容定义角色和角色绑定资源：

      例 9.1. YAML 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role  

      1

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: use-privileged-scc  

      2

      
        namespace: stackrox 

      3

      
      rules:  

      4

      
      - apiGroups:
        - security.openshift.io
        resourceNames:
        - privileged
        resources:
        - securitycontextconstraints
        verbs:
        - use
      - - -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding 

      5

      
      metadata:
        annotations:
           email: support@stackrox.com
           owner: stackrox
        labels:
           app.kubernetes.io/component: collector
           app.kubernetes.io/instance: stackrox-secured-cluster-services
           app.kubernetes.io/name: stackrox
           app.kubernetes.io/part-of: stackrox-secured-cluster-services
           app.kubernetes.io/version: 4.4.0
           auto-upgrade.stackrox.io/component: sensor
        name: collector-use-scc 

      6

      
        namespace: stackrox
      roleRef: 

      7

      
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: use-privileged-scc
      subjects: 

      8

      
      - kind: ServiceAccount
        name: collector
        namespace: stackrox
      - - -

      1

      本例中的 Kubernetes 资源的类型 Role。

      2

      角色资源的名称。

      3

      创建角色的命名空间。

      4

      描述角色资源授予权限。

      5

      本例中的 Kubernetes 资源的类型，即 RoleBinding。

      6

      角色绑定资源的名称。

      7

      指定要在同一命名空间中绑定的角色。

      8

      指定绑定到角色的主题。

   2. 运行以下命令，创建 upgrade-scs.yaml 文件中指定的角色和角色绑定资源：

      $ oc -n stackrox create -f ./update-scs.yaml

      重要

      您必须在每个安全集群中运行此命令，以创建 upgrade-scs.yaml 文件中指定的角色和角色绑定。

4. 删除特定于 RHACS 的 SCC：

   1. 要删除特定于所有安全集群的 SCC，请运行以下命令：

      $ oc delete scc/stackrox-admission-control scc/stackrox-collector scc/stackrox-sensor

      重要

      您必须在每个安全集群中运行此命令，才能删除特定于每个安全集群的 SCC。