5.4. Compliance Operator 扫描

流程

1. 运行以下命令检查 ScanSetting 对象：

   $ oc describe scansettings default -n openshift-compliance

   输出示例

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSetting
   metadata:
     name: default
     namespace: openshift-compliance
   rawResultStorage:
     pvAccessModes:
     - ReadWriteOnce 1
     rotation: 3 2
     size: 1Gi 3
   roles:
   - worker 4
   - master 5
   scanTolerations: 6
     default:
     - operator: Exists
     schedule: 0 1 * * * 7

   1

   Compliance Operator 创建一个包含扫描结果的持久性卷（PV）。默认情况下，PV 将使用访问模式 ReadWriteOnce，因为 Compliance Operator 无法假定集群中配置的存储类。另外，多数集群中可以使用 ReadWriteOnce 访问模式。如果需要获取扫描结果，可以使用一个 helper pod 来完成此操作，该 pod 也绑定卷。使用 ReadWriteOnce 访问模式的卷只能由一个 pod 挂载，因此请记住删除帮助程序 pod。否则，Compliance Operator 将无法重复使用卷进行后续扫描。

   2

   Compliance Operator 在卷中保留三个后续扫描的结果，旧的扫描会被轮转。

   3

   Compliance Operator 将为扫描结果分配一个 GB 存储。

   4 5

   如果扫描设置使用扫描集群节点的任何配置集，请扫描这些节点角色。

   6

   默认扫描设置对象还会扫描所有节点。

   7

   默认扫描设置对象每天 01:00 运行扫描。

   作为默认扫描设置的替代，您可以使用 default-auto-apply，它有以下设置：

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSetting
   metadata:
     name: default-auto-apply
     namespace: openshift-compliance
   autoUpdateRemediations: true 1
   autoApplyRemediations: true 2
   rawResultStorage:
     pvAccessModes:
       - ReadWriteOnce
     rotation: 3
     size: 1Gi
   schedule: 0 1 * * *
   roles:
     - worker
     - master
   scanTolerations:
     default:
     - operator: Exists

   1 2

   通过将 autoUpdateRemediations 和 autoApplyRemediations 标记设置为 true，您可以轻松地创建无需额外步骤自动修复的 ScanSetting 对象。

2. 创建一个 ScanSettingBinding 对，,它绑定到默认的 ScanSetting 对象，并使用 cis 和 cis-node 配置集扫描集群。例如：

   apiVersion: compliance.openshift.io/v1alpha1
   kind: ScanSettingBinding
   metadata:
     name: cis-compliance
     namespace: openshift-compliance
   profiles:
     - name: ocp4-cis-node
       kind: Profile
       apiGroup: compliance.openshift.io/v1alpha1
     - name: ocp4-cis
       kind: Profile
       apiGroup: compliance.openshift.io/v1alpha1
   settingsRef:
     name: default
     kind: ScanSetting
     apiGroup: compliance.openshift.io/v1alpha1

3. 运行以下命令来创建 ScanSettingBinding 对象：

   $ oc create -f <file-name>.yaml -n openshift-compliance

   此时，ScanSettingBinding 对象已协调，并以 Binding 和 Bound 设置为基础。Compliance Operator 会创建一个 ComplianceSuite 对象和关联的 ComplianceScan 对象。

4. 运行以下命令跟踪合规性扫描进度：

   $ oc get compliancescan -w -n openshift-compliance

   扫描过程通过扫描阶段进行，最终完成后到达 DONE 阶段。在大多数情况下，扫描的结果是 NON-COMPLIANT。您可以检查扫描结果，并开始应用补救使集群兼容。如需更多信息，请参阅管理 Compliance Operator 补救。