5.10. Compliance Operator 결과 및 수정 관리

프로세스

1. 노드를 나열합니다.

   $ oc get nodes -n openshift-compliance

   출력 예

   NAME                                       STATUS  ROLES  AGE    VERSION
   ip-10-0-128-92.us-east-2.compute.internal  Ready   master 5h21m  v1.23.3+d99c04f
   ip-10-0-158-32.us-east-2.compute.internal  Ready   worker 5h17m  v1.23.3+d99c04f
   ip-10-0-166-81.us-east-2.compute.internal  Ready   worker 5h17m  v1.23.3+d99c04f
   ip-10-0-171-170.us-east-2.compute.internal Ready   master 5h21m  v1.23.3+d99c04f
   ip-10-0-197-35.us-east-2.compute.internal  Ready   master 5h22m  v1.23.3+d99c04f

2. 노드에 레이블을 추가합니다.

   $ oc -n openshift-compliance \
   label node ip-10-0-166-81.us-east-2.compute.internal \
   node-role.kubernetes.io/<machine_config_pool_name>=

   출력 예

   node/ip-10-0-166-81.us-east-2.compute.internal labeled

3. 사용자 지정 MachineConfigPool CR을 생성합니다.

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfigPool
   metadata:
     name: <machine_config_pool_name>
     labels:
       pools.operator.machineconfiguration.openshift.io/<machine_config_pool_name>: '' 1
   spec:
     machineConfigSelector:
     matchExpressions:
     - {key: machineconfiguration.openshift.io/role, operator: In, values: [worker,<machine_config_pool_name>]}
     nodeSelector:
     matchLabels:
       node-role.kubernetes.io/<machine_config_pool_name>: ""

   1

   labels 필드는 MCP(Machine config pool)에 추가할 레이블 이름을 정의합니다.

4. MCP가 성공적으로 생성되었는지 확인합니다.

   $ oc get mcp -w

절차

1. 마스터,작업자 및 사용자 정의 예제 노드 풀이 포함된 예제 클러스터의 모든 풀에 대해 구성을 확인하려면 ocp-var-role-master 및 opc-var-role-worker 필드의 값을 TailoredProfile 오브젝트의 예제로 설정합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: TailoredProfile
   metadata:
     name: cis-example-tp
   spec:
     extends: ocp4-cis
     title: My modified NIST profile to scan example nodes
     setValues:
     - name: ocp4-var-role-master
       value: example
       rationale: test for example nodes
     - name: ocp4-var-role-worker
       value: example
       rationale: test for example nodes
     description: cis-example-scan

2. ScanSettingBinding CR에 저장할 ScanSetting 오브젝트에 예제 역할을 추가합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSetting
   metadata:
     name: default
     namespace: openshift-compliance
   rawResultStorage:
     rotation: 3
     size: 1Gi
   roles:
   - worker
   - master
   - example
   scanTolerations:
   - effect: NoSchedule
     key: node-role.kubernetes.io/master
     operator: Exists
   schedule: '0 1 * * *'

3. ScanSettingBinding CR을 사용하는 검사를 생성합니다.

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: cis
     namespace: openshift-compliance
   profiles:
   - apiGroup: compliance.openshift.io/v1alpha1
     kind: Profile
     name: ocp4-cis
   - apiGroup: compliance.openshift.io/v1alpha1
     kind: Profile
     name: ocp4-cis-node
   - apiGroup: compliance.openshift.io/v1alpha1
     kind: TailoredProfile
     name: cis-example-tp
   settingsRef:
     apiGroup: compliance.openshift.io/v1alpha1
     kind: ScanSetting
     name: default

프로세스

1. 아래 예제에서는 ocp4-ocp-allowed-registries-for-import 규칙을 사용하며 기본 OpenShift Container Platform 설치에서 실패합니다. oc get rule.compliance/ocp4-ocp-allowed-registries-for-import -oyaml 규칙을 검사합니다. 이 규칙은 allowedRegistriesForImport 특성을 설정하여 사용자가 이미지를 가져올 수 있는 레지스트리를 제한합니다. 규칙의 warning 특성에는 점검된 API 오브젝트도 표시되므로 이를 수정하고 문제를 해결할 수 있습니다.

   $ oc edit image.config.openshift.io/cluster

   출력 예

   apiVersion: config.openshift.io/v1
   kind: Image
   metadata:
     annotations:
       release.openshift.io/create-only: "true"
     creationTimestamp: "2020-09-10T10:12:54Z"
     generation: 2
     name: cluster
     resourceVersion: "363096"
     selfLink: /apis/config.openshift.io/v1/images/cluster
     uid: 2dcb614e-2f8a-4a23-ba9a-8e33cd0ff77e
   spec:
     allowedRegistriesForImport:
     - domainName: registry.redhat.io
   status:
     externalRegistryHostnames:
     - default-route-openshift-image-registry.apps.user-cluster-09-10-12-07.devcluster.openshift.com
     internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

2. 검사를 다시 실행합니다.

   $ oc -n openshift-compliance \
   annotate compliancescans/rhcos4-e8-worker compliance.openshift.io/rescan=

프로세스

1. 오래된 수정을 검색합니다.

   $ oc -n openshift-compliance get complianceremediations \
   -l complianceoperator.openshift.io/outdated-remediation=

   출력 예

   NAME                              STATE
   workers-scan-no-empty-passwords   Outdated

   현재 적용된 수정은 Outdated 특성에 저장되고 적용되지 않은 새 수정은 Current 특성에 저장됩니다. 새 버전에 만족한다면 Outdated 필드를 제거하십시오. 업데이트된 콘텐츠를 유지하려면 Current 및 Outdated 특성을 제거하십시오.

2. 최신 버전의 수정을 적용합니다.

   $ oc -n openshift-compliance patch complianceremediations workers-scan-no-empty-passwords \
   --type json -p '[{"op":"remove", "path":/spec/outdated}]'

3. 수정 상태가 Outdated에서 Applied로 전환됩니다.

   $ oc get -n openshift-compliance complianceremediations workers-scan-no-empty-passwords

   출력 예

   NAME                              STATE
   workers-scan-no-empty-passwords   Applied

4. 노드에 최신 수정 버전이 적용되고 노드가 재부팅됩니다.

프로세스

1. apply 플래그를 false 로 설정합니다. :

   $ oc -n openshift-compliance \
   patch complianceremediations/rhcos4-moderate-worker-sysctl-net-ipv4-conf-all-accept-redirects \
   --patch '{"spec":{"apply":false}}' --type=merge

2. 수정 상태가 NotApplied로 변경되고 복합 MachineConfig 오브젝트가 수정을 포함하지 않도록 다시 렌더링됩니다.

   중요

   수정으로 영향을 받는 모든 노드가 재부팅됩니다.

프로세스

1. one-rule -tp-node-master-kubelet-eviction-thresholds-hard-imagefs-available 수정에 대한 scan- name 및 컴플라이언스 검사를 찾습니다.

   $ oc -n openshift-compliance get remediation \ one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available -o yaml

   출력 예

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ComplianceRemediation
   metadata:
     annotations:
       compliance.openshift.io/xccdf-value-used: var-kubelet-evictionhard-imagefs-available
     creationTimestamp: "2022-01-05T19:52:27Z"
     generation: 1
     labels:
       compliance.openshift.io/scan-name: one-rule-tp-node-master 1
       compliance.openshift.io/suite: one-rule-ssb-node
     name: one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available
     namespace: openshift-compliance
     ownerReferences:
     - apiVersion: compliance.openshift.io/v1alpha1
       blockOwnerDeletion: true
       controller: true
       kind: ComplianceCheckResult
       name: one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available
       uid: fe8e1577-9060-4c59-95b2-3e2c51709adc
     resourceVersion: "84820"
     uid: 5339d21a-24d7-40cb-84d2-7a2ebb015355
   spec:
     apply: true
     current:
       object:
         apiVersion: machineconfiguration.openshift.io/v1
         kind: KubeletConfig
         spec:
           kubeletConfig:
             evictionHard:
               imagefs.available: 10% 2
     outdated: {}
     type: Configuration
   status:
     applicationState: Applied

   1

   수정의 검사 이름입니다.

   2

   KubeletConfig 오브젝트에 추가된 수정입니다.

   참고

   수정에서 evictionHard kubelet 구성을 호출하는 경우 evictionHard 매개변수인 memory.available,nodefs.available,nodefs.inodesFree,imagefs.available, imagefs.inodesFree 를 지정해야 합니다. 모든 매개변수를 지정하지 않으면 지정된 매개변수만 적용되고 수정이 제대로 작동하지 않습니다.

2. 수정을 제거합니다.

   1. 수정 오브젝트에 apply 를 false로 설정합니다.

      $ oc -n openshift-compliance patch \
      complianceremediations/one-rule-tp-node-master-kubelet-eviction-thresholds-set-hard-imagefs-available \
      -p '{"spec":{"apply":false}}' --type=merge

   2. scan-name 을 사용하여 수정이 적용된 KubeletConfig 오브젝트를 찾습니다.

      $ oc -n openshift-compliance get kubeletconfig \
      --selector compliance.openshift.io/scan-name=one-rule-tp-node-master

      출력 예

      NAME                                 AGE
      compliance-operator-kubelet-master   2m34s

   3. KubeletConfig 오브젝트에서 수정 imagefs.available: 10% 를 수동으로 제거합니다.

      $ oc edit -n openshift-compliance KubeletConfig compliance-operator-kubelet-master

      중요

      수정으로 영향을 받는 모든 노드가 재부팅됩니다.