配置

流程

1. 下载 ca-setup.sh 脚本。

   注意
   • 如果要进行新安装，您可以在 scripts 目录中找到 ca-setup.sh 脚本（central-bundle/central/scripts/ca-setup.sh）。
   • 您必须在登录到 OpenShift Container Platform 集群的同一终端中运行 ca-setup.sh 脚本。

2. 使 ca-setup.sh 脚本可执行：

   $ chmod +x ca-setup.sh

3. 要添加：

   1. 单个证书，使用 -f （文件）选项：

      $ ./ca-setup.sh -f <certificate>

      注意
      • 您必须使用 PEM 编码的证书文件（具有任何扩展名）。
      • 您还可以使用 -u (update)选项和 -f 选项更新之前添加的任何证书。

   2. 一次性移动目录中的所有证书，然后使用 -d （目录）选项：

      $ ./ca-setup.sh -d <directory_name>

      注意
      • 您必须使用带有 .crt 或 .pem 扩展名的 PEM 编码证书文件。
      • 每个文件必须仅包含单个证书。
      • 您还可以使用 -u （更新）选项和 -d 选项更新任何之前添加的证书。

流程

1. 在 RHACS 门户中，点击横幅中的链接，该链接声明证书过期时间下载 YAML 配置文件，其中包含新 secret。secret 包括证书和密钥值。

2. 运行以下命令，将新的 YAML 配置文件应用到安装 Central 的集群：

   $ oc apply -f <secret_file.yaml>

3. 重启 Central 以应用更改。

流程

1. 点横幅中的链接下载 YAML 配置文件，其中包含一个新的 OpenShift Container Platform secret，包括证书和密钥值。

2. 将新的 YAML 配置文件应用到安装 Scanner 的集群。

   $ oc apply -f <secret_file.yaml>

3. 重启 Scanner 以应用更改。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → System Configuration。
2. 在 System Configuration 视图 标头中，单击 Edit。
3. 在 Login Configuration 部分中，输入您的登录信息。
4. 要启用登录信息，请在 Login Configuration 部分中打开切换。
5. 点 Save。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → System Configuration。
2. 在 System Configuration 视图 标头中，单击 Edit。
3. 在 Header Configuration 和 Footer Configuration 部分下，输入标头和页脚文本。
4. 自定义标头和页脚 文本、大小 和 Background Color。
5. 要启用标头，请在 Header Configuration 部分打开切换。
6. 要启用页脚，请在 Footer Configuration 部分中打开切换。
7. 点 Save。

1. 下载定义。
2. 将定义上传到 Central。

1. 现有的 Collector 镜像。
2. 内核支持软件包（如果您已向 Central 上传了一个）。
3. 互联网上可用的红帽操作服务器。收集器使用 Central 的网络连接来检查和下载探测。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → System Configuration。
2. 在 System Configuration 视图 标头中，单击 Edit。

3. 在 Data Retention Configuration 部分下，更新每种数据类型的天数：

   • 所有运行时冲突
   • 已解决 Deploy-Phase Violations
   • 用于删除部署的运行时冲突

   • 镜像没有部署长

     注意

     要永久保存数据类型，请将保留周期设置为 0 天。

4. 点 Save。

流程

1. 创建补丁并定义 ROX_PLAINTEXT_ENDPOINTS 环境变量：

   $ CENTRAL_PLAINTEXT_PATCH='
   spec:
     template:
       spec:
         containers:
         - name: central
           env:
           - name: ROX_PLAINTEXT_ENDPOINTS
             value: <endpoints_spec> 1
   '

   1

   以 < type>@<addr>:<port&gt; 的形式的端点规格。详情请查看先决条件部分。

2. 将 ROX_PLAINTEXT_ENDPOINTS 环境变量添加到 Central 部署中：

   $ oc -n stackrox patch deploy/central -p "$CENTRAL_PLAINTEXT_PATCH"

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → Clusters。

2. 打开 Automatically upgrade secured clusters 切换开关。

   注意

   对于新安装，默认启用 Automatically upgrade secured clusters 切换。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → Clusters。

2. 关闭 Automatically upgrade secured clusters 切换开关。

   注意

   对于新安装，默认启用 Automatically upgrade secured clusters 切换。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → Clusters。
2. 在您要升级的集群的升级状态列中选择 Upgrade available 选项。
3. 要一次升级多个集群，请在您要更新的集群的 Cluster 列中选择复选框。
4. 单击 Upgrade。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → System Configuration。
2. 在 System Configuration 标头中，点 Edit。

3. 在 Cluster deletion 部分，您可以配置以下字段：

   • 停用的集群年龄 ：集群在考虑从 RHACS 中删除前无法访问的天数。如果集群中的 Central 无法达到这个天数，集群及其所有资源都会从 RHACS 中删除。要禁用此功能（这是默认行为），请在此字段中输入 0。要启用此功能，请输入非零数字，如 90，以配置无法访问的天数。

   • 忽略具有标签 : 要阻止集群被删除的集群，您可以通过输入本节中的键和值来配置标签。具有此标签的集群不会被删除，即使它们在 Decommissioned cluster age 字段中设定的天数内无法访问。

     • Key ：输入用于集群的标签。

     • Value ：输入与键关联的值。

       例如，若要从移除保留生产集群，您可以配置 cluster-type 键和 production 的值。

       注意

       在 Cluster deletion 部分，点 Clusters，其具有 Sensor Status: Unhealthy 以进入 Clusters 列表页面。本页被过滤，以显示可能删除以及从 RHACS 中删除的时间线的非活跃集群。

4. 点 Save。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → System Configuration。

2. 在 Cluster deletion 部分，点 Clusters，其具有 Sensor Status: Unhealthy 以进入 Clusters 列表页面。本页被过滤，以显示可以从 RHACS 中删除的非活跃集群以及删除的时间线。

   注意

   如果在集群被视为非活跃后启用此功能，则从集群变为非活跃的时间开始删除的天数，而不是从启用该功能的时间开始。如果您不希望删除任何非活跃集群，您可以配置标签，如"配置集群停用"部分中所述。当系统删除非活跃集群时，会忽略具有这些标签的集群。

流程

1. 将现有 secret 保存为 YAML 文件：

   $ oc -n stackrox get secret proxy-config \
     -o go-template='{{index .data "config.yaml" | \
     base64decode}}{{"\n"}}' > /tmp/proxy-config.yaml

2. 编辑 YAML 配置文件中要修改的字段，如在安装过程中 Configure proxy 中指定的。

3. 保存更改后，运行以下命令替换 secret：

   $ oc -n stackrox create secret generic proxy-config \
     --from-file=config.yaml=/tmp/proxy-config.yaml -o yaml --dry-run | \
     oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
     oc apply -f -

   重要
   • 您必须至少等待 1 分钟，直到 OpenShift Container Platform 将更改传播到 Central 和 Scanner。
   • 如果在更改代理配置后看到传出连接的问题，您必须重启您的 Central 和 Scanner pod。

流程

1. 从部署捆绑包目录中打开配置文件 central/proxy-config-secret.yaml。

   注意

   如果您使用 Helm，则配置文件位于 central/templates/proxy-config-secret.yaml。

2. 编辑配置文件中要修改的字段：

   apiVersion: v1
   kind: Secret
   metadata:
     namespace: stackrox
     name: proxy-config
   type: Opaque
   stringData:
     config.yaml: |- 1
       # # NOTE: Both central and scanner should be restarted if this secret is changed.
       # # While it is possible that some components will pick up the new proxy configuration
       # # without a restart, it cannot be guaranteed that this will apply to every possible
       # # integration etc.
       # url: http://proxy.name:port 2
       # username: username 3
       # password: password 4
       # # If the following value is set to true, the proxy wil NOT be excluded for the default hosts:
       # # - *.stackrox, *.stackrox.svc
       # # - localhost, localhost.localdomain, 127.0.0.0/8, ::1
       # # - *.local
       # omitDefaultExcludes: false
       # excludes:  # hostnames (may include * components) for which you do not 5
       # # want to use a proxy, like in-cluster repositories.
       # - some.domain
       # # The following configuration sections allow specifying a different proxy to be used for HTTP(S) connections.
       # # If they are omitted, the above configuration is used for HTTP(S) connections as well as TCP connections.
       # # If only the `http` section is given, it will be used for HTTPS connections as well.
       # # Note: in most cases, a single, global proxy configuration is sufficient.
       # http:
       #   url: http://http-proxy.name:port 6
       #   username: username 7
       #   password: password 8
       # https:
       #   url: http://https-proxy.name:port 9
       #   username: username 10
       #   password: password 11

   3 4 7 8 10 11

   在开始以及在 http 和 https 部分中，添加 username 和 password 是可选的。

   2 6 9

   url 选项支持以下 URL 方案：

   • http:// 用于 HTTP 代理。
   • https:// 用于支持 TLS 的 HTTP 代理。
   • SOCKS5 代理的 socks5://。

   5

   excludes 列表可以包含 DNS 名称（带有或不带有 * 通配符）、IP 地址或 IP 块（例如：10.0.0.0/8）。此列表中的值适用于所有传出连接，而不考虑协议。

   1

   stringData 部分中的 |- 行表示配置数据的开头。

   注意

   • 首次打开文件时，所有值都会被注释掉（在每行的开头使用 # 符号）。以双 hash 符号（# #）开头的行包含配置键的说明。
   • 确保在编辑字段时，您可以维护相对于 config.yaml: |- 行的两个空格的缩进级别。

3. 编辑配置文件后，您可以继续正常安装。更新的配置指示 Red Hat Advanced Cluster Security for Kubernetes 使用在提供的地址和端口号上运行的代理。

流程

1. 在 RHACS 门户网站中，选择 Platform Configuration → System Health。
2. 在 System Health view 标头上，点 Generate Diagnostic Bundle。
3. 对于 Filter by clusters 下拉菜单，选择要为其生成诊断数据的集群。
4. 对于 Filter by starting time，指定您要包含诊断数据的日期和时间（以 UTC 格式）。
5. 点 Download Diagnostic Bundle。

流程

1. 生成 central-bundle 后，打开 ./central-bundle/central/02-endpoints-config.yaml 文件。
2. 在这个文件中，将自定义 YAML 配置添加到密钥 endpoint .yaml 的 data: 部分。确保您为 YAML 配置维护 4 个空格缩进。
3. 照常继续安装说明。Red Hat Advanced Cluster Security for Kubernetes 使用指定的配置。

流程

1. 下载现有配置映射：

   $ oc -n stackrox get cm/central-endpoints -o go-template='{{index .data "endpoints.yaml"}}'  > <directory_path>/central_endpoints.yaml

2. 在下载的 central_endpoints.yaml 文件中，指定您的自定义 YAML 配置。

3. 上传并应用修改后的 central_endpoints.yaml 配置文件：

   $ oc -n stackrox create cm central-endpoints --from-file=endpoints.yaml=<directory-path>/central-endpoints.yaml -o yaml --dry-run | \
   oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
   oc apply -f -

4. 重启 Central。

流程

1. 克隆 allow-ext-to-central Kubernetes 网络策略：

   $ oc -n stackrox get networkpolicy.networking.k8s.io/allow-ext-to-central -o yaml > <directory_path>/allow-ext-to-central-custom-port.yaml

2. 使用它作为创建网络策略的引用，在该策略中指定您要公开的端口号。确保在 YAML 文件的 metadata 部分中更改网络策略的名称，使其不会影响内置的 allow-ext-to-central 策略。

流程

1. 使用以下值更新 values-public.yaml 配置文件：

   central.exposeMonitoring: true
   scanner.exposeMonitoring: true

2. 运行 helm upgrade 命令并指定配置文件。

流程

1. 在 RHACS 门户网站中，进入 Platform Configuration → Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Generic Webhook 或 Splunk。
3. 填写所需信息，再打开 Enable Audit Logging 切换开关。

流程

1. 在 RHACS 门户网站中，进入到 Platform Configuration → Integrations。
2. 滚动到 Authentication Tokens 类别，然后点 API Token。
3. 点 Generate Token。
4. 输入令牌的名称并选择提供所需访问级别的角色（例如： Continuous Integration 或 Sensor Creator）。

5. 点 Generate。

   重要

   复制生成的令牌并安全地存储它。您将无法再次查看它。

流程

1. 运行以下命令来创建权限集。本例创建一个名为 "restricted" 的权限集，并保存为 permission-set.yaml 文件。它为 Administration 资源设置读写访问权限，以及对 Access 资源的读访问权限。

   $ roxctl declarative-config create permission-set \
   --name="restricted" \
   --description="Restriction permission set that only allows \
   access to Administration and Access resources" \
   --resource-with-access=Administration=READ_WRITE_ACCESS \
   --resource-with-access=Access=READ_ACCESS > permission-set.yaml

2. 输入以下命令，创建允许访问 Administration 和 Access 资源的角色。本例创建一个名为 "restricted" 的角色，并保存为 role.yaml 文件。

   $ roxctl declarative-config create role \
   --name="restricted" \
   --description="Restricted role that only allows access to Administration and Access" \
   --permission-set="restricted" \
   --access-scope="Unrestricted" > role.yaml

3. 输入以下命令，从上一步中创建的两个 YAML 文件创建配置映射。这个示例创建 declarative-configurations 配置映射。

   $ kubectl create configmap declarative-configurations \ 1
   --from-file permission-set.yaml --from-file role.yaml \
   -o yaml --namespace=stackrox > declarative-configs.yaml

   1

   对于 OpenShift Container Platform，使用 oc create。

4. 输入以下命令应用配置映射：

   $ kubectl apply -f declarative-configs.yaml 1

   1

   对于 OpenShift Container Platform，请使用 oc apply。

   应用配置映射后，从 Central 中提取的配置信息会创建资源。

   注意

   虽然监视间隔为 5 秒，如以下段落中所述，但可将配置映射的更改传播到 Central 挂载时可能会有延迟。

   您可以配置以下间隔来指定声明性配置如何与 Central 交互：

   • 配置监视间隔： Central 检查更改的时间间隔每 5 秒进行一次。您可以使用 ROX_DECLARATIVE_CONFIG_WATCH_INTERVAL 环境变量配置此间隔。
   • 协调间隔： 默认情况下，声明性配置与 Central 协调每 20 秒进行。您可以使用 ROX_DECLARATIVE_CONFIG_RECONCILE_INTERVAL 环境变量配置此间隔。

流程

1. 在 RHACS 门户中，进入到 Platform Configuration → Access Control → Auth provider 选项卡，然后点 Invite users。

2. 在 Invite users 对话框中提供以下信息：

   • 邀请电子邮件 ：输入您要邀请的一个或多个用户的电子邮件地址。确保它们是与预期接收者关联的有效电子邮件地址。

   • Provider: 从下拉列表中选择您要用于每个邀请用户的供应商。

     重要
     • 如果您只有一个身份验证供应商可用，则默认选择它。
     • 如果有多个身份验证提供程序可用，并且至少有一个身份验证提供程序是 Red Hat SSO 或 Default Internal SSO，则默认选择该提供程序。
     • 如果有多个身份验证提供程序可用，但它们都不是 Red Hat SSO 或 Default Internal SSO，则会提示您输入手动选择一个。
     • 如果您还没有设置身份验证提供程序，则会出现警告消息，并禁用表单。点链接，它带您进入 Access Control 部分来配置身份验证供应商。
   • 角色 ：从下拉列表中选择要分配给每个邀请用户的角色。
3. 点 Invite users。
4. 在确认对话框中，您会收到一条确认用户已使用所选角色创建的确认。
5. 将一个或多个电子邮件地址以及邮件复制到您在您自己的电子邮件客户端中创建的电子邮件中，并将其发送给用户。
6. 点 Done。

验证

1. 在 RHACS 门户中，进入 Platform Configuration → Access Control → Auth provider 选项卡。
2. 选择用于邀请用户的身份验证提供程序。
3. 向下滚动到 Rules 部分。
4. 验证用户电子邮件和验证供应商角色是否已添加到列表中。