前提条件

• プライベートイメージレジストリーからイメージをデプロイする場合は、最初に新しいイメージをプライベートレジストリーにプッシュしてから、このセクションのコマンドのイメージレジストリーを置き換えます。

手順

• 次のコマンドを実行して、Central をアップグレードします。

  $ oc -n stackrox patch deploy/central -p '{"spec":{"template":{"spec":{"containers":[{"name":"central","env":[{"name":"ROX_NAMESPACE","valueFrom":{"fieldRef":{"fieldPath":"metadata.namespace"}}}]}]}}}}' 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc -n stackrox patch deployment/scanner -p '{"spec":{"template":{"spec":{"containers":[{"name":"scanner","securityContext":{"runAsUser":65534}}]}}}}' 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc -n stackrox set image deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:3.71.3 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  重要

  • Red Hat Advanced Cluster Security for Kubernetes 3.65.0 からアップグレードする場合は、次の追加コマンドを実行して、stackrox-central-diagnostics ロールを作成する必要があります。

    $ oc -n stackrox patch role stackrox-central-diagnostics -p '{"rules":[{"apiGroups":["*"],"resources":["deployments","daemonsets","replicasets","configmaps","services"],"verbs":["get","list"]}]}' 1

    1

    Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  • Helm または Operator を使用して Red Hat Advanced Cluster Security for Kubernetes をインストールしておらず、OpenShift OAuth サーバーを使用して認証を有効にする場合は、次の追加コマンドを実行する必要があります。

    $ oc -n stackrox set env deploy/central ROX_ENABLE_OPENSHIFT_AUTH=true

    $ oc -n stackrox patch serviceaccount/central -p '
    {
    "metadata": {
    "annotations": {
    "serviceaccounts.openshift.io/oauth-redirecturi.main": "sso/providers/openshift/callback",
    "serviceaccounts.openshift.io/oauth-redirectreference.main": "{"kind":"OAuthRedirectReference","apiVersion":"v1","reference":{"kind":"Route","name":"central"}}"
    }
    }
    }'

検証

• 新しい Pod がデプロイされていることを確認します。

  $ oc get deploy -n stackrox -o wide 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc get pod -n stackrox --watch 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

前提条件

• プライベートイメージレジストリーからイメージをデプロイする場合は、最初に新しいイメージをプライベートレジストリーにプッシュしてから、次のセクションのコマンドを編集して、プライベートイメージレジストリーの名前を使用する必要があります。

検証

• 新しい Pod が正常にデプロイされたことを確認します。

  • OpenShift Container Platform を使用する場合は、以下のコマンドを入力します。

    $ oc get pod -n stackrox --watch

  • Kubernetes を使用する場合は、次のコマンドを入力します。

    $ kubectl get pod -n stackrox --watch

手順

• Central ログを確認します。

  OpenShift Container Platform を使用している場合は、次のコマンドを入力します。

  $ oc logs -n stackrox deploy/central -c central

  Kubernetes を使用している場合は、次のコマンドを入力します。

  $ kubectl logs -n stackrox deploy/central -c central

手順

• readiness プローブパスを更新します。

  $ oc -n stackrox patch deploy/sensor -p '{"spec":{"template":{"spec":{"containers":[{"name":"sensor","readinessProbe":{"httpGet":{"path":"/ready"}}}]}}}}' 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

手順

• Red Hat Advanced Cluster Security for Kubernetes 3.64.0 は SCC の名前を変更します。Red Hat Advanced Cluster Security for Kubernetes 3.64.0 より前のバージョンからアップグレードする場合は、SCC を削除して再適用する必要があります。それ以外の場合は、次の手順をスキップしてください。

  1. 次のコマンドを実行して、Central を更新します。

     $ oc apply -f - <<EOF
     kind: SecurityContextConstraints
     apiVersion: security.openshift.io/v1
     metadata:
       name: stackrox-central
       labels:
         app.kubernetes.io/name: stackrox
       annotations:
         kubernetes.io/description: stackrox-central is the security constraint for the central server
         email: support@stackrox.com
         owner: stackrox
     allowHostDirVolumePlugin: false
     allowedCapabilities: []
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     defaultAddCapabilities: []
     fsGroup:
       type: MustRunAs
       ranges:
         - max: 4000
           min: 4000
     priority: 0
     readOnlyRootFilesystem: true
     requiredDropCapabilities: []
     runAsUser:
       type: MustRunAs
       uid: 4000
     seLinuxContext:
       type: MustRunAs
     seccompProfiles:
       - '*'
     users:
       - system:serviceaccount:stackrox:central
     volumes:
       - '*'
     EOF

     $ oc delete scc central

  2. 次のコマンドを実行して Scanner を更新します。

     $ oc apply -f - <<EOF
     kind: SecurityContextConstraints
     apiVersion: security.openshift.io/v1
     metadata:
       name: stackrox-scanner
       labels:
         app.kubernetes.io/name: stackrox
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-scanner is the security constraint for the Scanner container
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     users:
       - system:serviceaccount:stackrox:scanner
     volumes:
       - '*'
     allowHostDirVolumePlugin: false
     allowedCapabilities: []
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     defaultAddCapabilities: []
     fsGroup:
       type: RunAsAny
     readOnlyRootFilesystem: false
     requiredDropCapabilities: []
     EOF

     $ oc delete scc scanner

  3. 各 OpenShift Secured Cluster で以下のコマンドを実行します。

     $ oc apply -f - <<EOF
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-admission-control
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-admission-control is the security constraint for the admission controller
     users:
       - system:serviceaccount:stackrox:admission-control
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     fsGroup:
       type: RunAsAny
     groups: []
     readOnlyRootFilesystem: true
     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: false
     allowPrivilegedContainer: false
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - secret
     ---
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-collector
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: This SCC is based on privileged, hostaccess, and hostmount-anyuid
     users:
       - system:serviceaccount:stackrox:collector
     allowHostDirVolumePlugin: true
     allowPrivilegedContainer: true
     fsGroup:
       type: RunAsAny
     groups: []
     priority: 0
     readOnlyRootFilesystem: true
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - hostPath
       - secret
     ---
     apiVersion: security.openshift.io/v1
     kind: SecurityContextConstraints
     metadata:
       name: stackrox-sensor
       labels:
         app.kubernetes.io/name: stackrox
         auto-upgrade.stackrox.io/component: "sensor"
       annotations:
         email: support@stackrox.com
         owner: stackrox
         kubernetes.io/description: stackrox-sensor is the security constraint for the sensor
     users:
       - system:serviceaccount:stackrox:sensor
       - system:serviceaccount:stackrox:sensor-upgrader
     priority: 0
     runAsUser:
       type: RunAsAny
     seLinuxContext:
       type: RunAsAny
     seccompProfiles:
       - '*'
     supplementalGroups:
       type: RunAsAny
     fsGroup:
       type: RunAsAny
     groups: []
     readOnlyRootFilesystem: true
     allowHostDirVolumePlugin: false
     allowHostIPC: false
     allowHostNetwork: false
     allowHostPID: false
     allowHostPorts: false
     allowPrivilegeEscalation: true
     allowPrivilegedContainer: false
     allowedCapabilities: []
     defaultAddCapabilities: []
     requiredDropCapabilities: []
     volumes:
       - configMap
       - downwardAPI
       - emptyDir
       - secret
     EOF

     $ oc delete scc admission-control collector sensor

手順

• 新しい Pod がデプロイされていることを確認します。

  $ oc get deploy,ds -n stackrox -o wide 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  $ oc get pod -n stackrox --watch 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

前提条件

• Red Hat Advanced Cluster Security for Kubernetes 3.0.57.0 以降を使用している必要がある。
• ロールバックを実行する前に、永続ストレージで使用可能な空きディスク容量が必要である。Red Hat Advanced Cluster Security for Kubernetes は、ディスク領域を使用して、アップグレード中にデータベースのコピーを保持する。ディスク容量がコピーを保存するのに十分でなく、アップグレードが失敗した場合は、以前のバージョンにロールバックすることはできない。

手順

• アップグレードが失敗した場合 (Central サービスが開始する前) に、次のコマンドを実行して前のバージョンにロールバックします。

  $ oc -n stackrox rollout undo deploy/central 1

  1

  Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

前提条件

• Red Hat Advanced Cluster Security for Kubernetes 3.0.58.0 以降を使用している必要がある。
• ロールバックを実行する前に、永続ストレージで使用可能な空きディスク容量が必要である。Red Hat Advanced Cluster Security for Kubernetes は、ディスク領域を使用して、アップグレード中にデータベースのコピーを保持する。ディスク容量がコピーを保存するのに十分でなく、アップグレードが失敗した場合は、以前のバージョンにロールバックすることはできない。

手順

• 次のコマンドを実行して、強制ロールバックを実行します。

  • 以前にインストールしたバージョンに強制的にロールバックするには、以下のコマンドを実行します。

    $ oc -n stackrox rollout undo deploy/central 1

    1

    Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

  • 特定のバージョンに強制的にロールバックするには、以下を行います。

    1. Central の ConfigMap を編集します。

       $ oc -n stackrox edit configmap/central-config 1

       1

       Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

    2. maintenance.forceRollbackVersion キーの値を更新します。

       data:
         central-config.yaml: |
           maintenance:
             safeMode: false
             compaction:
                enabled: true
                bucketFillFraction: .5
                freeFractionThreshold: 0.75
             forceRollbackVersion: <x.x.x.x> 1
         ...

       1

       ロールバックするバージョンを指定します。

    3. Central イメージのバージョンを更新します。

       $ oc -n stackrox \ 1
         set image deploy/central central=registry.redhat.io/advanced-cluster-security/rhacs-main-rhel8:<x.x.x.x> 2

       1

       Kubernetes を使用する場合は、oc の代わりに kubectl と入力します。

       2

       ロールバックするバージョンを指定します。これは、central-config 設定マップで maintenance.forceRollbackVersion キーに指定したものと同じバージョンである必要があります。