インストール

手順

1. Web コンソールで、Operators → OperatorHub ページに移動します。
2. Red Hat Advanced Cluster Security for Kubernetes が表示されない場合は、Filter by keyword ボックスに Advanced Cluster Security と入力して、Red Hat Advanced Cluster Security for Kubernetes Operator を検索します。
3. 詳細ページを表示するには、Red Hat Advanced Cluster Security for Kubernetes Operator を 選択します。
4. Operator に関する情報を読み、Install をクリックします。

5. Install Operator ページで以下を行います。

   • Installation mode のデフォルト値を All namespaces on the cluster として保持します。
   • Installed namespace フィールドの Operator をインストールする特定の namespace を選択します。Red Hat Advanced Cluster Security for Kubernetes Operator を rhacs-operator namespace にインストールします。

   • Update approval には、自動更新または手動更新を選択します。

     自動更新を選択した場合、Operator の新しいバージョンが利用可能になると、Operator Lifecycle Manager (OLM) は Operator の実行中のインスタンスを自動的にアップグレードします。

     手動による更新を選択する場合は、新しいバージョンの Operator が利用可能になると、OLM は更新リクエストを作成します。クラスター管理者は、更新リクエストを手動で承認して、Operator を最新バージョンに更新する必要があります。

     重要

     手動更新を選択した場合、Central がインストールされているクラスターで RHACS Operator を更新するときに、すべてのセキュアクラスターで RHACS Operator を更新する必要があります。最適な機能を確保するには、セキュアクラスターと Central がインストールされているクラスターのバージョンが同じである必要があります。

6. Install をクリックします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースは、rhacs-operator および openshift-operator プロジェクトではなく、独自のプロジェクト、または Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにインストールする必要があります。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat では、プロジェクト名として stackrox を使用することを推奨します。
5. Provided APIs セクションで、Central を選択します。Create Central をクリックします。

6. オプション: 宣言型設定を使用している場合は、次の方法で Configure via: の横にある YAML view をクリックし、次の例に示すように宣言型設定の情報を追加します。

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: "<declarative-configs>" 1
         secrets:
         - name: "<sensitive-declarative-configs>" 2
   ...

   1

   <declarative-configs> を、使用している設定マップの名前に置き換えます。

   2

   <sensitive-declarative-configs> を、使用しているシークレットの名前に置き換えます。

7. Central カスタムリソースの名前を入力し、適用するラベルを追加します。それ以外の場合は、使用可能なオプションのデフォルト値を受け入れます。
8. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
4. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. 新しいユーザーを作成します。

   CREATE USER stackrox WITH PASSWORD <password>;

2. データベースを作成します。

   CREATE DATABASE stackrox;

3. データベースに接続します。

   \connect stackrox

4. ユーザースキーマを作成します。

   CREATE SCHEMA stackrox;

5. (オプション) パブリックでの権限を取り消します。

   REVOKE CREATE ON SCHEMA public FROM PUBLIC;
   REVOKE USAGE ON SCHEMA public FROM PUBLIC;
   REVOKE ALL ON DATABASE stackrox FROM PUBLIC;

6. ロールを作成します。

   CREATE ROLE readwrite;

7. ロールへの接続権限を付与します。

   GRANT CONNECT ON DATABASE stackrox TO readwrite;

8. 必要な権限を readwrite ロールに追加します。

   GRANT USAGE ON SCHEMA stackrox TO readwrite;
   GRANT USAGE, CREATE ON SCHEMA stackrox TO readwrite;
   GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO readwrite;
   GRANT USAGE ON ALL SEQUENCES IN SCHEMA stackrox TO readwrite;
   ALTER DEFAULT PRIVILEGES IN SCHEMA stackrox GRANT USAGE ON SEQUENCES TO readwrite;

9. readwrite ロールを stackrox ユーザーに割り当てます。

   GRANT readwrite TO stackrox;

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。

3. 推奨される namespace に Operator をインストールした場合、OpenShift Container Platform はプロジェクトを rhacs-operator としてリストします。Project: rhacs-operator を選択し → Create project を選択します。

   警告
   • 別の namespace に Operator をインストールした場合、OpenShift Container Platform は rhacs-operator ではなくその namespace の名前を表示します。
   • Red Hat Advanced Cluster Security for Kubernetes Central カスタムリソースは、rhacs-operator および openshift-operator プロジェクトではなく、独自のプロジェクト、または Red Hat Advanced Cluster Security for Kubernetes Operator をインストールしたプロジェクトにインストールする必要があります。
4. 新しいプロジェクト名 (たとえば、stackrox) を入力し、Create をクリックします。Red Hat では、プロジェクト名として stackrox を使用することを推奨します。

5. OpenShift Container Platform Web コンソールまたはターミナルを使用して、デプロイされた namespace にパスワードシークレットを作成します。

   • OpenShift Container Platform Web コンソールで、Workloads → Secrets ページに移動します。キー password、およびプロビジョニングされたデータベースのスーパーユーザーのパスワードを含むプレーンテキストファイルのパスとしての値を使用して、キー/値のシークレット を作成します。

   • または、ターミナルで次のコマンドを実行します。

     $ oc create secret generic external-db-password \ 1
       --from-file=password=<password.txt> 2

     1

     Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

     2

     password.txt をプレーンテキストのパスワードが含まれるファイルのパスに置き換えます。

6. OpenShift Container Platform Web コンソールの Red Hat Advanced Cluster Security for Kubernetes Operator ページに戻ります。Provided APIs セクションで、Central を選択します。Create Central をクリックします。
7. オプション: 宣言型設定を使用している場合は、Configure via: の横にある YAML view をクリックします。

8. 次の例に示すように、宣言型設定の情報を追加します。

   ...
   spec:
     central:
       declarativeConfiguration:
         configMaps:
         - name: <declarative-configs> 1
         secrets:
         - name: <sensitive-declarative-configs> 2
   ...

   1

   <declarative-configs> を、使用している設定マップの名前に置き換えます。

   2

   <sensitive-declarative-configs> を、使用しているシークレットの名前に置き換えます。

9. Central カスタムリソースの名前を入力し、適用するラベルを追加します。
10. Central Component Settings → Central DB Settings に移動します。
11. Administrator Password には、参照されるシークレットを external-db-password (または以前に作成したパスワードのシークレット名) として指定します。
12. Connection String (Technology Preview) に、keyword=value 形式で接続文字列を指定します。たとえば、host=<host> port=5432 database=stackrox user=stackrox sslmode=verify-ca です。
13. Persistence → PersistentVolumeClaim → Claim Name の場合は、central-db を削除します。

14. 必要に応じて、データベース証明書と Central の間に信頼関係が確立されるように、認証局を指定できます。これを追加するには、次の例に示すように、YAML ビューに移動し、最上位仕様の下に TLS ブロックを追加します。

    spec:
      tls:
        additionalCAs:
        - name: db-ca
          content: |
            <certificate>

15. Create をクリックします。

次のステップ

1. Central インストールを確認します。
2. オプション: Central オプションを設定します。
3. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
4. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. インストールされている Operator のリストから、Red Hat Advanced Cluster Security for Kubernetes Operator を選択します。
3. Central タブを選択します。
4. Centrals リストから、stackrox-central-services を選択して詳細を表示します。

5. admin ユーザーのパスワードを取得するには、以下のいずれかを行います。

   • Admin Password Secret Reference のリンクをクリックします。

   • Red Hat OpenShift CLI を使用して、Admin Credentials Info にリストされているコマンドを入力します。

     $ oc -n stackrox get secret central-htpasswd -o go-template='{{index .data "password" | base64decode}}'

6. Red Hat OpenShift CLI コマンドを使用して、RHACS ポータルへのリンクを見つけます。

   $ oc -n stackrox get route central -o jsonpath="{.status.ingress[0].host}"

   または、Red Hat Advanced Cluster Security for Kubernetes Web コンソールを使用して、次のコマンドを実行することにより、RHACS ポータルへのリンクを見つけることができます。

   1. Networking → Routes に移動します。
   2. central ルートを見つけて、Location 列の下にある RHACS ポータルリンクをクリックします。
7. ユーザー名 admin と、前の手順で取得したパスワードを使用して、RHACS ポータルにログインします。RHACS の設定が完了するまで (たとえば、Central リソースと少なくとも 1 つの SecuredCluster リソースをインストールして設定する)、ダッシュボードでデータを使用できません。SecuredCluster リソースは、Central リソースと同じクラスターにインストールおよび設定できます。SecuredCluster リソースを備えたクラスターは、Red Hat Advanced Cluster Management (RHACM) のマネージドクラスターに似ています。

次のステップ

1. オプション: central 設定を設定します。
2. Central リソースと SecuredCluster リソース間の通信を可能にするクラスターシークレットを含む init バンドルを生成します。このバンドルをダウンロードし、それを使用して保護対象のクラスターにリソースを生成し、バンドルをセキュアに保管する必要があります。
3. 監視する各クラスターにセキュアクラスターサービスをインストールします。

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   注記

   --set または --set-file パラメーターを使用して設定値を指定することもできます。ただし、これらのオプションは保存されないため、変更を加えるたびにすべてのオプションを手動で再度指定する必要があります。

手順

1. 対話型インストールコマンドを実行します。

   $ roxctl central generate interactive

   重要

   roxctl CLI を使用して RHACS をインストールすると、下位互換性のためにデフォルトで PodSecurityPolicy (PSP) オブジェクトが作成されます。RHACS を Kubernetes バージョン 1.25 以降または OpenShift Container Platform バージョン 4.12 以降にインストールする場合、PSP オブジェクトの作成を無効にする必要があります。これを行うには、roxctl central generate コマンドと roxctl sensor generate コマンドで --enable-pod-security-policies オプションを false に指定します。

2. Enter を押してプロンプトのデフォルト値を受け入れるか、必要に応じてカスタム値を入力します。次の例は、対話型インストーラーのプロンプトを示しています。

   Enter path to the backup bundle from which to restore keys and certificates (optional):
   Enter read templates from local filesystem (default: "false"):
   Enter path to helm templates on your local filesystem (default: "/path"):
   Enter PEM cert bundle file (optional): 1
   Enter Create PodSecurityPolicy resources (for pre-v1.25 Kubernetes) (default: "true"): 2
   Enter administrator password (default: autogenerated):
   Enter orchestrator (k8s, openshift):
   Enter default container images settings (development_build, stackrox.io, rhacs, opensource); it controls repositories from where to download the images, image names and tags format (default: "development_build"):
   Enter the directory to output the deployment bundle to (default: "central-bundle"):
   Enter the OpenShift major version (3 or 4) to deploy on (default: "0"):
   Enter whether to enable telemetry (default: "false"):
   Enter central-db image to use (if unset, a default will be used according to --image-defaults):
   Enter Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   Enter the method of exposing Central (route, lb, np, none) (default: "none"): 3
   Enter main image to use (if unset, a default will be used according to --image-defaults):
   Enter whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   Enter list of secrets to add as declarative configuration mounts in central (default: "[]"): 4
   Enter list of config maps to add as declarative configuration mounts in central (default: "[]"): 5
   Enter the deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Enter scanner-db image to use (if unset, a default will be used according to --image-defaults):
   Enter scanner image to use (if unset, a default will be used according to --image-defaults):
   Enter Central volume type (hostpath, pvc): 6
   Enter external volume name for Central (default: "stackrox-db"):
   Enter external volume size in Gi for Central (default: "100"):
   Enter storage class name for Central (optional if you have a default StorageClass configured):
   Enter external volume name for Central DB (default: "central-db"):
   Enter external volume size in Gi for Central DB (default: "100"):
   Enter storage class name for Central DB (optional if you have a default StorageClass configured):

   1

   カスタム TLS 証明書を追加する場合は、PEM でエンコードされた証明書のファイルパスを指定します。カスタム証明書を指定すると、対話型インストーラーは、使用しているカスタム証明書の PEM 秘密鍵を提供するように要求します。

   2

   Kubernetes バージョン 1.25 以降を実行している場合は、この値を false に設定します。

   3

   RHACS ポータルを使用するには、ルート、ロードバランサー、またはノードポートを使用して Central を公開する必要があります。

   4

   認証と認可に宣言型設定を使用する方法の詳細は、Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理の認証および認可リソースの宣言型設定を参照してください。

   5

   認証と認可に宣言型設定を使用する方法の詳細は、Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理の認証および認可リソースの宣言型設定を参照してください。

   6

   hostPath ボリュームを使用して OpenShift Container Platform に Red Hat Cluster Security for Kubernetes をインストールする場合は、SELinux ポリシーを変更する必要があります。

   警告

   OpenShift Container Platform で、hostPath ボリュームを使用するには、SELinux ポリシーを変更して、ホストとコンテナーが共有するディレクトリーへのアクセスを許可する必要があります。これは、SELinux がデフォルトでディレクトリー共有をブロックしているためです。SELinux ポリシーを変更するには、次のコマンドを実行します。

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   ただし、Red Hat は SELinux ポリシーの変更を推奨していません。代わりに、OpenShift Container Platform にインストールするときに PVC を使用してください。

手順

1. setup.sh スクリプトを実行して、イメージレジストリーアクセスを設定します。

   $ ./central-bundle/central/scripts/setup.sh

2. 必要なリソースを作成します。

   $ oc create -R -f central-bundle/central

3. デプロイメントの進行状況を確認します。

   $ oc get pod -n stackrox -w

4. Central の実行後、RHACS ポータルの IP アドレスを見つけて、ブラウザーで開きます。プロンプトに応答するときに選択した公開方法に応じて、次のいずれかの方法を使用して IP アドレスを取得します。

   公開方法	コマンド	アドレス	例
   ルート	oc -n stackrox get route central	出力の HOST/PORT 列の下のアドレス	https://central-stackrox.example.route
   ノードポート	oc get node -owide && oc -n stackrox get svc central-loadbalancer	サービス用に表示されたポート上の任意のノードの IP またはホスト名	https://198.51.100.0:31489
   ロードバランサー	oc -n stackrox get svc central-loadbalancer	EXTERNAL-IP、またはポート 443 でサービスに表示されるホスト名	https://192.0.2.0
   なし	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

手順

1. 公開方法に基づいて RHACS ポータルのアドレスを見つけます。

   1. ルートの場合。

      $ oc get route central -n stackrox

   2. ロードバランサーの場合。

      $ oc get service central-loadbalancer -n stackrox

   3. port forward の場合:

      1. 以下のコマンドを実行します。

         $ oc port-forward svc/central 18443:443 -n stackrox

      2. https://localhost:18443/ に移動します。
2. RHACS ポータルで、Platform Configuration → Integrations に移動します。
3. Authentication Tokens セクションに移動し、Cluster Init Bundle をクリックする。
4. Generate bundle をクリックする。

5. クラスター初期化バンドルの名前を入力し、Generate をクリックする。

   1. Helm チャートを使用してインストールする場合は、Download Helm Values File をクリックして、生成されたバンドルをダウンロードします。
   2. Operator を使用してインストールする場合は、Download Kubernetes Secret File をクリックして、生成されたバンドルをダウンロードします。

次のステップ

1. セキュアなクラスターでリソースを作成して、init バンドルを適用します。
2. 各クラスターにセキュアなクラスターサービスをインストールします。

手順

1. OpenShift Container Platform Web コンソールで、Operators → Installed Operators ページに移動します。
2. RHACS Operator をクリックします。
3. Operator details ページの central ナビゲーションメニューから Secured Cluster をクリックします。
4. Create SecuredCluster をクリックします。

5. Configure via フィールドで次のいずれかのオプションを選択します。

   • Form view: 画面上のフィールドを使用してセキュアなクラスターを設定し、他のフィールドを変更する必要がない場合は、このオプションを使用します。
   • YAML view: このビューを使用して、YAML ファイルを使用してセキュアなクラスターをセットアップします。YAML ファイルがウィンドウに表示され、その中のフィールドを編集できます。このオプションを選択した場合、ファイルの編集が終了したら、Create をクリックします。
6. Form view を使用している場合は、デフォルトの名前を受け入れるか編集して、新しいプロジェクト名を入力します。デフォルト値は stackrox-secured-cluster-services です。
7. オプション: クラスターのラベルを追加します。
8. SecuredCluster カスタムリソースの一意の名前を入力します。

9. Central Endpoint には、Central インスタンスのアドレスとポート番号を入力します。たとえば、Central が https://central.example.com で利用できる場合は、central エンドポイントを central.example.com:443 として指定します。デフォルト値の central.stackrox.svc:443 は、セキュアなクラスターサービスと Central を同じクラスターにインストールした場合にのみ機能します。複数のクラスターを設定する場合は、デフォルト値を使用しないでください。代わりに、各クラスターの Central Endpoint 値を設定するときにホスト名を使用します。

   • セキュアなクラスターサービスと Central を同じクラスターにインストールする場合のみ、central.stackrox.svc:443 を使用します。
10. デフォルト値を受け入れるか、必要に応じてカスタム値を設定します。たとえば、カスタム証明書または信頼されていない CA を使用している場合は、TLS を設定する必要がある場合があります。
11. Create をクリックします。

次のステップ

1. オプション: 追加のセキュアなクラスター設定を設定します。
2. インストールの検証

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-secured-cluster-services rhacs/secured-cluster-services \
     --reuse-values \ 1
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   1

   --reuse-values パラメーターを指定する必要があります。指定しない場合、Helm upgrade コマンドは以前に設定されたすべての設定をリセットします。

   注記

   --set または --set-file パラメーターを使用して設定値を指定することもできます。ただし、これらのオプションは保存されないため、変更を加えるたびにすべてのオプションを手動で再度指定する必要があります。

手順

1. セキュアなクラスターの RHACS ポータルで、Platform Configuration → Clusters に移動します。
2. +NewCluster を選択します。
3. クラスターの名前を指定します。

4. Sensor をデプロイする場所に基づいて、フィールドに適切な値を入力します。

   • 同じクラスターに Sensor をデプロイする場合は、すべてのフィールドのデフォルト値を受け入れます。
   • 別のクラスターにデプロイする場合は、central.stackrox.svc:443 を、他のクラスターからアクセス可能なロードバランサー、ノードポート、またはポート番号を含む他のアドレスに置き換えます。

   • HAProxy、AWS Application Load Balancer (ALB)、AWS Elastic Load Balancing (ELB) などの非 gRPC 対応のロードバランサーを使用している場合は、WebSocket Secure (wss) プロトコルを使用してください。wss を使用するには:

     • アドレスの前に wss:// を付けます。
     • アドレスの後にポート番号を追加します (例 wss://stackrox-central.example.com:443)。
5. Next をクリックして、Sensor のセットアップを続行します。

6. Download YAML File and Keys をクリックして、クラスターバンドル (zip アーカイブ) をダウンロードします。

   重要

   クラスターバンドルの zip アーカイブには、クラスターごとに固有の設定とキーが含まれています。同じファイルを別のクラスターで再利用しないでください。

7. モニター対象クラスターにアクセスできるシステムから、クラスターバンドルから sensor スクリプトを解凍して実行します。

   $ unzip -d sensor sensor-<cluster_name>.zip

   $ ./sensor/sensor.sh

   Sensor をデプロイするために必要な権限がないという警告が表示された場合は、画面の指示に従うか、クラスター管理者に連絡して支援を求めてください。

検証

1. RHACS ポータルに戻り、デプロイメントが成功したかどうかを確認します。成功した場合、Platform Configuration → Clusters でクラスターのリストを表示すると、クラスターのステータスに緑色のチェックマークと Healthy ステータスが表示されます。緑色のチェックマークが表示されない場合は、次のコマンドを使用して問題を確認してください。

   • OpenShift Container Platform で、次のコマンドを入力します。

     $ oc get pod -n stackrox -w

   • Kubernetes で、次のコマンドを入力します。

     $ kubectl get pod -n stackrox -w

2. Finish をクリックしてウィンドウを閉じます。

手順

1. values-public.yaml および values-private.yaml 設定ファイルを新しい値で更新します。

2. helm upgrade コマンドを実行し、-f オプションを使用して設定ファイルを指定します。

   $ helm upgrade -n stackrox \
     stackrox-central-services rhacs/central-services \
     -f <path_to_values_public.yaml> \
     -f <path_to_values_private.yaml>

   注記

   --set または --set-file パラメーターを使用して設定値を指定することもできます。ただし、これらのオプションは保存されないため、変更を加えるたびにすべてのオプションを手動で再度指定する必要があります。

手順

1. 対話型インストールコマンドを実行します。

   $ roxctl central generate interactive

   重要

   roxctl CLI を使用して RHACS をインストールすると、下位互換性のためにデフォルトで PodSecurityPolicy (PSP) オブジェクトが作成されます。RHACS を Kubernetes バージョン 1.25 以降または OpenShift Container Platform バージョン 4.12 以降にインストールする場合、PSP オブジェクトの作成を無効にする必要があります。これを行うには、roxctl central generate コマンドと roxctl sensor generate コマンドで --enable-pod-security-policies オプションを false に指定します。

2. Enter を押してプロンプトのデフォルト値を受け入れるか、必要に応じてカスタム値を入力します。次の例は、対話型インストーラーのプロンプトを示しています。

   Enter path to the backup bundle from which to restore keys and certificates (optional):
   Enter read templates from local filesystem (default: "false"):
   Enter path to helm templates on your local filesystem (default: "/path"):
   Enter PEM cert bundle file (optional): 1
   Enter Create PodSecurityPolicy resources (for pre-v1.25 Kubernetes) (default: "true"): 2
   Enter administrator password (default: autogenerated):
   Enter orchestrator (k8s, openshift):
   Enter default container images settings (development_build, stackrox.io, rhacs, opensource); it controls repositories from where to download the images, image names and tags format (default: "development_build"):
   Enter the directory to output the deployment bundle to (default: "central-bundle"):
   Enter the OpenShift major version (3 or 4) to deploy on (default: "0"):
   Enter whether to enable telemetry (default: "false"):
   Enter central-db image to use (if unset, a default will be used according to --image-defaults):
   Enter Istio version when deploying into an Istio-enabled cluster (leave empty when not running Istio) (optional):
   Enter the method of exposing Central (route, lb, np, none) (default: "none"): 3
   Enter main image to use (if unset, a default will be used according to --image-defaults):
   Enter whether to run StackRox in offline mode, which avoids reaching out to the Internet (default: "false"):
   Enter list of secrets to add as declarative configuration mounts in central (default: "[]"): 4
   Enter list of config maps to add as declarative configuration mounts in central (default: "[]"): 5
   Enter the deployment tool to use (kubectl, helm, helm-values) (default: "kubectl"):
   Enter scanner-db image to use (if unset, a default will be used according to --image-defaults):
   Enter scanner image to use (if unset, a default will be used according to --image-defaults):
   Enter Central volume type (hostpath, pvc): 6
   Enter external volume name for Central (default: "stackrox-db"):
   Enter external volume size in Gi for Central (default: "100"):
   Enter storage class name for Central (optional if you have a default StorageClass configured):
   Enter external volume name for Central DB (default: "central-db"):
   Enter external volume size in Gi for Central DB (default: "100"):
   Enter storage class name for Central DB (optional if you have a default StorageClass configured):

   1

   カスタム TLS 証明書を追加する場合は、PEM でエンコードされた証明書のファイルパスを指定します。カスタム証明書を指定すると、対話型インストーラーは、使用しているカスタム証明書の PEM 秘密鍵を提供するように要求します。

   2

   Kubernetes バージョン 1.25 以降を実行している場合は、この値を false に設定します。

   3

   RHACS ポータルを使用するには、ルート、ロードバランサー、またはノードポートを使用して Central を公開する必要があります。

   4

   認証と認可に宣言型設定を使用する方法の詳細は、Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理の認証および認可リソースの宣言型設定を参照してください。

   5

   認証と認可に宣言型設定を使用する方法の詳細は、Red Hat Advanced Cluster Security for Kubernetes での RBAC の管理の認証および認可リソースの宣言型設定を参照してください。

   6

   hostPath ボリュームを使用して OpenShift Container Platform に Red Hat Cluster Security for Kubernetes をインストールする場合は、SELinux ポリシーを変更する必要があります。

   警告

   OpenShift Container Platform で、hostPath ボリュームを使用するには、SELinux ポリシーを変更して、ホストとコンテナーが共有するディレクトリーへのアクセスを許可する必要があります。これは、SELinux がデフォルトでディレクトリー共有をブロックしているためです。SELinux ポリシーを変更するには、次のコマンドを実行します。

   $ sudo chcon -Rt svirt_sandbox_file_t <full_volume_path>

   ただし、Red Hat は SELinux ポリシーの変更を推奨していません。代わりに、OpenShift Container Platform にインストールするときに PVC を使用してください。

手順

1. setup.sh スクリプトを実行して、イメージレジストリーアクセスを設定します。

   $ ./central-bundle/central/scripts/setup.sh

2. 必要なリソースを作成します。

   $ oc create -R -f central-bundle/central

3. デプロイメントの進行状況を確認します。

   $ oc get pod -n stackrox -w

4. Central の実行後、RHACS ポータルの IP アドレスを見つけて、ブラウザーで開きます。プロンプトに応答するときに選択した公開方法に応じて、次のいずれかの方法を使用して IP アドレスを取得します。

   公開方法	コマンド	アドレス	例
   ルート	oc -n stackrox get route central	出力の HOST/PORT 列の下のアドレス	https://central-stackrox.example.route
   ノードポート	oc get node -owide && oc -n stackrox get svc central-loadbalancer	サービス用に表示されたポート上の任意のノードの IP またはホスト名	https://198.51.100.0:31489
   ロードバランサー	oc -n stackrox get svc central-loadbalancer	EXTERNAL-IP、またはポート 443 でサービスに表示されるホスト名	https://192.0.2.0
   なし	central-bundle/central/scripts/port-forward.sh 8443	https://localhost:8443	https://localhost:8443

手順

1. 公開方法に基づいて RHACS ポータルのアドレスを見つけます。

   1. ルートの場合。

      $ oc get route central -n stackrox

   2. ロードバランサーの場合。

      $ oc get service central-loadbalancer -n stackrox

   3. port forward の場合:

      1. 以下のコマンドを実行します。

         $ oc port-forward svc/central 18443:443 -n stackrox

      2. https://localhost:18443/ に移動します。
2. RHACS ポータルで、Platform Configuration → Integrations に移動します。
3. Authentication Tokens セクションに移動し、Cluster Init Bundle をクリックする。
4. Generate bundle をクリックする。

5. クラスター初期化バンドルの名前を入力し、Generate をクリックする。

   1. Helm チャートを使用してインストールする場合は、Download Helm Values File をクリックして、生成されたバンドルをダウンロードします。
   2. Operator を使用してインストールする場合は、Download Kubernetes Secret File をクリックして、生成されたバンドルをダウンロードします。

次のステップ

1. セキュアなクラスターでリソースを作成して、init バンドルを適用します。
2. 各クラスターにセキュアなクラスターサービスをインストールします。