5.4. Compliance Operator 管理

流程

1. 在 OpenShift Container Platform Web 控制台中导航至 Operators → OperatorHub。
2. 搜索 Compliance Operator，然后点 Install。
3. 保留 安装模式 和 命名空间 的默认选择，以确保将 Operator 安装到 openshift-compliance 命名空间中。
4. 点 Install。

1. 导航到 Operators → Installed Operators 页面。
2. 检查 Compliance Operator 是否已安装在 openshift-compliance 命名空间中，其状态为 Succeeded。

1. 导航到 Operators → Installed Operators 页面，并检查 Status 列中是否有任何错误或故障。
2. 导航到 Workloads → Pods 页面，检查 openshift-compliance 项目中报告问题的 pod 的日志。

流程

1. 定义一个 Namespace 对象：

   namespace-object.yaml示例

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       openshift.io/cluster-monitoring: "true"
       pod-security.kubernetes.io/enforce: privileged 1
     name: openshift-compliance

   1

   在 OpenShift Container Platform 4.13 中，pod 安全标签必须在命名空间级别设置为 privileged。

2. 创建 Namespace 对象：

   $ oc create -f namespace-object.yaml

3. 定义一个 OperatorGroup 对象：

   operator-group-object.yaml示例

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: compliance-operator
     namespace: openshift-compliance
   spec:
     targetNamespaces:
     - openshift-compliance

4. 创建 OperatorGroup 对象：

   $ oc create -f operator-group-object.yaml

5. 定义一个 Subscription 对象：

   subscription-object.yaml示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: compliance-operator-sub
     namespace: openshift-compliance
   spec:
     channel: "stable"
     installPlanApproval: Automatic
     name: compliance-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace

6. 创建 Subscription 对象：

   $ oc create -f subscription-object.yaml

验证

1. 通过检查 CSV 文件来验证安装是否成功：

   $ oc get csv -n openshift-compliance

2. 验证 Compliance Operator 是否正在运行：

   $ oc get deploy -n openshift-compliance

流程

1. 定义类似如下的 Namespace 对象：

   namespace-object.yaml示例

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       openshift.io/cluster-monitoring: "true"
       pod-security.kubernetes.io/enforce: privileged 1
     name: openshift-compliance

   1

   在 OpenShift Container Platform 4.13 中，pod 安全标签必须在命名空间级别设置为 privileged。

2. 运行以下命令来创建 Namespace 对象：

   $ oc create -f namespace-object.yaml

3. 定义一个 OperatorGroup 对象：

   operator-group-object.yaml示例

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: compliance-operator
     namespace: openshift-compliance
   spec:
     targetNamespaces:
     - openshift-compliance

4. 运行以下命令来创建 OperatorGroup 对象：

   $ oc create -f operator-group-object.yaml

5. 定义一个 Subscription 对象：

   subscription-object.yaml示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: compliance-operator-sub
     namespace: openshift-compliance
   spec:
     channel: "stable"
     installPlanApproval: Automatic
     name: compliance-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     config:
       nodeSelector:
         node-role.kubernetes.io/worker: ""
       env:
       - name: PLATFORM
         value: "HyperShift"

6. 运行以下命令来创建 Subscription 对象：

   $ oc create -f subscription-object.yaml

验证

1. 运行以下命令，检查 CSV 文件来验证安装是否成功：

   $ oc get csv -n openshift-compliance

2. 运行以下命令验证 Compliance Operator 是否正在运行：

   $ oc get deploy -n openshift-compliance

流程

1. 在 web 控制台的 Administrator 视角中，导航到 Operators → Installed Operators。
2. 点击您要更改更新频道的 Operator 名称。
3. 点 Subscription 标签页。
4. 点 Update channel 下的更新频道名称。
5. 点要更改的更新频道，然后点 Save。

6. 对于带有 自动批准策略 的订阅，更新会自动开始。返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

   对于采用手动批准策略的订阅，您可以从 Subscription 选项卡中手动批准更新。

流程

1. 在 OpenShift Container Platform Web 控制台的 Administrator 视角中，进入 Operators → Installed Operators。
2. 处于待定更新的 Operator 会显示 Upgrade available 状态。点您要更新的 Operator 的名称。
3. 点 Subscription 标签页。任何需要批准的更新都会在 Upgrade status 旁边显示。例如：它可能会显示 1 requires approval。
4. 点 1 requires approval，然后点 Preview Install Plan。
5. 检查列出可用于更新的资源。在满意后，点 Approve。
6. 返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

1. 进入 Operators → Installed Operators → Compliance Operator 页面。

   1. 点 All instances。
   2. 在 All namespaces 中，点 Options 菜单 删除所有 ScanSettingBinding、ComplainceSuite、ComplianceScan 和 ProfileBundle 对象。
2. 切换到 Administration → Operators → Installed Operators 页面。
3. 点 Compliance Operator 条目 中的 Options 菜单并选择 Uninstall Operator。
4. 切换到 Home → Projects 页面。
5. 搜索 'compliance'。

6. 点 openshift-compliance 项目 旁边的 Options 菜单，然后选择 Delete Project。

   1. 通过在对话框中输入 openshift-compliance 并点 Delete 来确认删除。

流程

1. 删除命名空间中的所有对象。

   1. 删除 ScanSettingBinding 对象：

      $ oc delete ssb --all -n openshift-compliance

   2. 删除 ScanSetting 对象：

      $ oc delete ss --all -n openshift-compliance

   3. 删除 ComplianceSuite 对象：

      $ oc delete suite --all -n openshift-compliance

   4. 删除 ComplianceScan 对象：

      $ oc delete scan --all -n openshift-compliance

   5. 删除 ProfileBundle 对象：

      $ oc delete profilebundle.compliance --all -n openshift-compliance

2. 删除 Subscription 对象：

   $ oc delete sub --all -n openshift-compliance

3. 删除 CSV 对象：

   $ oc delete csv --all -n openshift-compliance

4. 删除项目：

   $ oc delete project openshift-compliance

   输出示例

   project.project.openshift.io "openshift-compliance" deleted

验证

1. 确认已删除命名空间：

   $ oc get project/openshift-compliance

   输出示例

   Error from server (NotFound): namespaces "openshift-compliance" not found