roxctl CLI をインストールして、コマンドラインインターフェイスから Red Hat Advanced Cluster Security for Kubernetes と対話できます。roxctl は、Linux、Windows、または macOS にインストールできます。

roxctl クライアントは、Red Hat Advanced Cluster Security for Kubernetes roxctl イメージのデフォルトのエントリーポイントです。コンテナーイメージで roxctl クライアントを実行するには、以下を行います。

CLI をインストールした後、次のコマンドを使用して CLI を実行できます。

$ docker run -e ROX_API_TOKEN=$ROX_API_TOKEN \
  -it registry.redhat.io/advanced-cluster-security/rhacs-roxctl-rhel8:3.71.3 \
  -e $ROX_CENTRAL_ADDRESS <command>

Central は、以下に関する情報を保存します。

roxctl CLI を使用して、Central のデータベースをバックアップおよび復元できます。

Central データベースのバックアップ

次のコマンドを実行して、Central のデータベースをバックアップします。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central backup

Central データベースの復元

次のコマンドを実行して、Central のデータベースを復元します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central db restore <backup_filename>

Kubernetes または OpenShift Container Platform クラスターを保護するには、Red Hat Advanced Cluster Security for Kubernetes サービスをクラスターにデプロイする必要があります。Platform Configuration → Clusters ビューに移動して RHACS ポータルでデプロイメントファイルを生成するか、roxctl CLI を使用できます。

Sensor デプロイメント YAML ファイルの生成

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate k8s --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

$ roxctl -e "$ROX_CENTRAL_ADDRESS" sensor generate openshift --name <cluster_name> --central "$ROX_CENTRAL_ADDRESS"

--help の出力を読んで、システムアーキテクチャーに応じて使用する必要のある他のオプションを確認してください。

--central に提供するエンドポイントに、Red Hat Advanced Cluster Security for Kubernetes サービスをデプロイしているクラスターから到達できることを確認してください。

既存のクラスターのセンサーバーンドルをダウンロード

次のコマンドを使用して、クラスター名または ID を指定して、既存のクラスターの Sensor バンドルをダウンロードします。

$ roxctl sensor get-bundle <cluster_name_or_id>

クラスター統合の削除

$ roxctl -e "$ROX_CENTRAL_ADDRESS" cluster delete --name=<cluster_name>

roxctl CLI を使用して、ポリシーに準拠しているかどうかデプロイメント YAML ファイルおよびイメージを確認できます。

出力形式の設定

deployment check、image check、または image scan コマンドを使用してポリシーコンプライアンスをチェックする場合は、-o オプションを使用して出力形式を指定できます。このオプションは、コマンドの出力が端末にどのように表示されるかを決定します。

コマンドに -o オプションを追加し、形式を json、table、csv、または junit として指定することにより、出力形式を変更できます。

たとえば、次のコマンドはデプロイメントをチェックしてから、結果を csv 形式で表示します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file =<yaml_filename> \
  -o csv

出力を設定するためにさまざまなオプションを使用できます。次の表に、オプションとそれらが使用可能な形式を示します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" \
  deployment check --file=<yaml_filename> \
  -o table --headers POLICY-NAME,SEVERITY \
  --row-jsonpath-expressions="{results.#.violatedPolicies.#.name,results.#.violatedPolicies.#.severity}"

デプロイ YAML ファイルを確認する

次のコマンドは、YAML デプロイメントファイル内のセキュリティーポリシーのビルド時およびデプロイ時の違反をチェックします。次のコマンドを使用して、以下を検証します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" deployment check --file=<yaml_filename>

イメージを確認する

次のコマンドは、イメージ内のセキュリティーポリシーのビルド時違反をチェックします。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image check --image=<image_name>

イメージスキャン結果の確認

特定のイメージのスキャン結果を確認することもできます。

次のコマンドは、イメージで見つかったコンポーネントおよび脆弱性を JSON 形式で返します。形式は API リファレンスで定義されています。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" image scan --image <image_name>

Red Hat Advanced Cluster Security for Kubernetes で、関連付けられたレジストリーとスキャナーからイメージメタデータおよびイメージスキャン結果を再プルするには、-force オプションを追加します。

中央ログレベルの管理

Central は、情報をコンテナーログに保存します。

ログの表示

次を実行すると、Central のコンテナーログを確認できます。

$ kubectl logs -n stackrox <central_pod>

$ oc logs -n stackrox <central_pod>

現在のログレベルの表示

ログレベルを変更して、Central ログの情報を増減できます。次のコマンドを実行して、現在のログレベルを表示します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log

ログレベルの変更

次のコマンドを実行して、ログレベルを変更します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug log --level=<log_level> 1

デバッグ情報の取得

問題を調査するためのデバッグ情報を収集するには、次のコマンドを実行します。

$ roxctl -e "$ROX_CENTRAL_ADDRESS" central debug dump