第 4 章 使用 Helm chart 安装

流程

• 添加 Red Hat Advanced Cluster Security for Kubernetes charts 软件仓库。

  $ helm repo add rhacs https://mirror.openshift.com/pub/rhacs/charts/

  Red Hat Advanced Cluster Security for Kubernetes 的 Helm 仓库包括两个用于安装不同组件的 Helm chart。

  • 用于安装集中组件（Central 和 Scanner）的中央服务Helm Chart（central-services）。

    注意

    您只部署集中式组件一次，并可使用同一安装监控多个独立集群。

  • 安全集群服务 Helm Chart (secured-cluster-services) 用于安装针对每个集群（Sensor 和 Admission 控制器）和针对每个节点(Collector) 的组件。

    注意

    将 per-cluster 组件部署到要监控的每个集群中，并在要监控的所有节点中部署 per-node 组件。

验证

• 运行以下命令来验证添加的 chart 存储库：

  $ helm search repo -l rhacs/

流程

• 运行以下命令安装 Central 服务并使用一个路由来公开 Central：

  $ helm install -n stackrox \
    --create-namespace stackrox-central-services rhacs/central-services \
    --set imagePullSecrets.allowNone=true \
    --set central.exposure.route.enabled=true

• 或者，运行以下命令安装 Central 服务并使用一个负载均衡器来公开 Central：

  $ helm install -n stackrox \
    --create-namespace stackrox-central-services rhacs/central-services \
    --set imagePullSecrets.allowNone=true \
    --set central.exposure.loadBalancer.enabled=true

• 或者，运行以下命令安装 Central 服务并使用一个端口转发来公开 Central：

  $ helm install -n stackrox \
    --create-namespace stackrox-central-services rhacs/central-services \
    --set imagePullSecrets.allowNone=true

• 自动生成的管理员密码。
• 关于存储所有配置值的说明。
• Helm 生成的任何警告。

先决条件

• 您必须有用于公开 Central 服务的地址和端口号。

流程

• 在其他基于 Kubernetes 的集群上运行以下命令：

  $ helm install -n stackrox --create-namespace \
      stackrox-secured-cluster-services rhacs/secured-cluster-services \
      -f <path_to_cluster_init_bundle.yaml> \ 1
      --set clusterName=<name_of_the_secured_cluster> \
      --set centralEndpoint=<endpoint_of_central_service> 2

  1

  使用 -f 选项指定 init 捆绑包的路径。

  2

  指定 Central 的地址和端口号。例如, acs.domain.com:443。

• 在 OpenShift Container Platform 集群中运行以下命令：

  $ helm install -n stackrox --create-namespace \
      stackrox-secured-cluster-services rhacs/secured-cluster-services \
      -f <path_to_cluster_init_bundle.yaml> \ 1
      --set clusterName=<name_of_the_secured_cluster> \
      --set centralEndpoint=<endpoint_of_central_service> 2
      --set scanner.disable=false

  1

  使用 -f 选项指定 init 捆绑包的路径。

  2

  指定 Central 的地址和端口号。例如, acs.domain.com:443。