流程

1. 下载 ca-setup.sh 脚本。

   注意

   • 如果要进行新安装，您可以在 scripts 目录中找到 ca-setup.sh 脚本（central-bundle/central/scripts/ca-setup.sh）。
   • 您必须在登录到 OpenShift Container Platform 集群的同一终端中运行 ca-setup.sh 脚本。

2. 使 ca-setup.sh 脚本可执行：

   $ chmod +x ca-setup.sh

3. 添加：

   1. 单个证书，使用 -f （文件）选项：

      $ ./ca-setup.sh -f <certificate>

      注意

      • 您必须使用 PEM 编码证书文件（任何扩展）。
      • 您还可以使用 -u （更新）选项以及 -f 选项更新之前添加的任何证书。

   2. 次多个证书，移动目录中的所有证书，然后使用 -d （目录）选项：

      $ ./ca-setup.sh -d <directory_name>

      注意

      • 您必须使用带有 .crt 扩展名的 PEM 编码证书文件。
      • 每个文件必须仅包含单个证书。
      • 您还可以使用 -u （更新）选项以及 -d 选项更新任何之前添加的证书。

流程

1. 点击横幅中的链接下载 YAML 配置文件，其中包含一个新的 OpenShift Container Platform secret，包括证书和密钥值。

2. 将新的 YAML 配置文件应用到已安装 Central 的集群。

   $ oc apply -f <secret_file.yaml>

3. 重启 Central 以应用更改。

流程

1. 点击横幅中的链接下载 YAML 配置文件，其中包含一个新的 OpenShift Container Platform secret，包括证书和密钥值。

2. 将新 YAML 配置文件应用到安装 Scanner 的集群。

   $ oc apply -f <secret_file.yaml>

3. 重启扫描器以应用更改。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration → System Configuration。
2. 在 System Configuration view 标头上，单击 Edit。
3. 在 Login Configuration 部分输入您的登录信息。
4. 要启用登录消息，请在 Login Configuration 部分打开切换。
5. 点 Save。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration → System Configuration。
2. 在 System Configuration view 标头上，单击 Edit。
3. 在 标头 Configuration 和 Footer Configuration 项中输入标头和页脚文本。
4. 自定义标题和页脚 文本 Color、Size 和 Background Color。
5. 要启用标头，在 Header Configuration 部分打开切换。
6. 要启用 footer，请打开 Footer Configuration 部分中的切换。
7. 点 Save。

1. 下载定义。
2. 将定义上传到 Central。

1. 现有 Collector 镜像。
2. 内核支持软件包（如果您已向 Central 上传了一个）。
3. 互联网上可用的红帽操作服务器。收集器使用中央网络连接来检查和下载探测。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration → System Configuration。
2. 在 System Configuration view 标头上，单击 Edit。

3. 在 数据保留配置 部分下，更新每种数据类型的天数：

   • 所有运行时冲突
   • 已解析的 Deploy-Phase Violations
   • 用于删除部署的运行时冲突

   • 没有部署的镜像

     注意

     要永久保存数据类型，请将保留周期设置为 0 天。

4. 点 Save。

流程

1. 创建补丁并定义 ROX_PLAINTEXT_ENDPOINTS 环境变量：

   $ CENTRAL_PLAINTEXT_PATCH='
   spec:
     template:
       spec:
         containers:
         - name: central
           env:
           - name: ROX_PLAINTEXT_ENDPOINTS
             value: <endpoints_spec> 1
   '

   1

   以 < type>@<addr>:<port> 的形式为端点规格。详情请查看先决条件部分。

2. 将 ROX_PLAINTEXT_ENDPOINTS 环境变量添加到中央部署中：

   $ oc -n stackrox patch deploy/central -p "$CENTRAL_PLAINTEXT_PATCH"

流程

1. 在 RHACS 门户中，导航到 Platform Configuration → Clusters。

2. 打开 Automatically upgrade secured clusters 切换开关。

   注意

   对于新的安装，自动升级安全的集群 切换会被默认启用。

流程

1. 在 RHACS 门户中，导航到 Platform Configuration → Clusters。

2. 关闭 Automatically upgrade secured clusters 切换开关。

   注意

   对于新的安装，自动升级安全的集群 切换会被默认启用。

流程

1. 在 RHACS 门户中，导航到 Platform Configuration → Clusters。
2. 在您要升级的集群的 Upgrade status 列下选择 Upgrade available 选项。
3. 要一次性升级多个集群，请选择您要更新的集群的 Cluster 列中的复选框。
4. 单击 Upgrade。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration → System Configuration。
2. 在 System Configuration 标头中，点 Edit。

3. 在 Cluster deletion 部分中，您可以配置以下字段：

   • 弃用的集群年龄 ：集群在考虑从 RHACS 中删除前无法访问的天数。如果 Central 无法因为这个天数访问集群中的 Sensor，则集群及其所有资源都会从 RHACS 中删除。要禁用此功能（这是默认行为），请在此字段中输入 0。要启用此功能，请输入一个非零数字，如 90，以配置无法访问的天数。

   • 忽略具有标签 : 要阻止集群被删除的集群，您可以通过在本节中输入键和值来配置标签。具有此标签的集群不会被删除，即使它们在委派 的集群年龄 字段中设定的天数无法访问。

     • Key ：输入要用于集群的标签。

     • Value ：输入与键关联的值。

       例如，若要保留生产集群被删除，您可以配置 cluster-type 键和 production 的值。

       注意

       在 Cluster deletion 部分中，点 具有 Sensor Status: Unhealthy 的 Clusters 来进入 Clusters 列表页面。这个页面被过滤以显示非活跃集群，这些集群可能会被删除，并从 RHACS 中删除的时间。

4. 点 Save。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration → System Configuration。

2. 在 Cluster deletion 部分中，点 具有 Sensor Status: Unhealthy 的 Clusters 来进入 Clusters 列表页面。这个页面会被过滤以显示从 RHACS 中删除的非活跃集群，以及删除的时间范围。

   注意

   如果在集群被视为非活动状态后启用此功能，从集群变为不活动状态的时间开始，而不是从启用该功能的时间开始。如果有任何不需要删除的非活跃集群，您可以配置一个标签，如"配置集群停用"部分中所述。当系统删除非活跃集群时，会忽略具有这些标签的集群。

流程

1. 将现有 secret 保存为 YAML 文件：

   $ oc -n stackrox get secret proxy-config \
     -o go-template='{{index .data "config.yaml" | \
     base64decode}}{{"\n"}}' > /tmp/proxy-config.yaml

2. 编辑 YAML 配置文件中您要修改的字段，如 Configure proxy 在安装过程中指定。

3. 保存更改后，运行以下命令来替换 secret：

   $ oc -n stackrox create secret generic proxy-config \
     --from-file=config.yaml=/tmp/proxy-config.yaml -o yaml --dry-run | \
     oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
     oc apply -f -

   重要

   • 您必须至少等待 1 分钟，直到 OpenShift Container Platform 将您的更改传播到 Central 和 Scanner。
   • 如果您在更改代理配置后看到与传出连接相关的问题，您必须重启 Central 和 Scanner pod。

流程

1. 从部署捆绑包目录中打开配置文件 central/proxy-config-secret.yaml。

   注意

   如果使用 Helm，则配置文件位于 central/templates/proxy-config-secret.yaml 中。

2. 编辑配置文件中您要修改的字段：

   apiVersion: v1
   kind: Secret
   metadata:
     namespace: stackrox
     name: proxy-config
   type: Opaque
   stringData:
     config.yaml: |- 1
       # # NOTE: Both central and scanner should be restarted if this secret is changed.
       # # While it is possible that some components will pick up the new proxy configuration
       # # without a restart, it cannot be guaranteed that this will apply to every possible
       # # integration etc.
       # url: http://proxy.name:port 2
       # username: username 3
       # password: password 4
       # # If the following value is set to true, the proxy wil NOT be excluded for the default hosts:
       # # - *.stackrox, *.stackrox.svc
       # # - localhost, localhost.localdomain, 127.0.0.0/8, ::1
       # # - *.local
       # omitDefaultExcludes: false
       # excludes:  # hostnames (may include * components) for which you do not 5
       # # want to use a proxy, like in-cluster repositories.
       # - some.domain
       # # The following configuration sections allow specifying a different proxy to be used for HTTP(S) connections.
       # # If they are omitted, the above configuration is used for HTTP(S) connections as well as TCP connections.
       # # If only the `http` section is given, it will be used for HTTPS connections as well.
       # # Note: in most cases, a single, global proxy configuration is sufficient.
       # http:
       #   url: http://http-proxy.name:port 6
       #   username: username 7
       #   password: password 8
       # https:
       #   url: http://https-proxy.name:port 9
       #   username: username 10
       #   password: password 11

   3 4 7 8 10 11

   在开始以及在 http 和 https 部分中，添加 username 和 password 是可选的。

   2 6 9

   url 选项支持以下 URL 方案：

   • HTTP 代理的 HTTP ://。
   • 用于支持 TLS 的 HTTP 代理的 HTTPS://。
   • 适用于 SOCKS5 代理的 socks5://。

   5

   excludes 列表可以包含 DNS 名称（带有或没有 * 通配符）、IP 地址或 CIDR 表示法中的 IP 块（例如 10.0.0.0/8）。此列表中的值将应用到所有传出连接，而不考虑协议。

   1

   stringData 部分中的 |- 行表示配置数据的开头。

   注意

   • 第一次打开文件时，所有值都会注释掉（使用行首的 # 符号）。以双 hash 符号（# #）开头的行包含配置键的说明。
   • 在编辑字段时，您维护了一个相对于 config.yaml: |- 行的缩进级别两个空格。

3. 编辑配置文件后，您可以继续正常安装。更新的配置指示 Red Hat Advanced Cluster Security for Kubernetes 使用在提供的地址和端口号中运行的代理。

流程

1. 在 RHACS 门户中，选择 Platform Configuration → System Health。
2. 在 System Health 视图 标头中，单击 Generate Diagnostic Bundle。
3. 对于 Filter by cluster 下拉菜单，选择您要为其生成诊断数据的集群。
4. 对于 Filter by start time，请指定您要在其中包含诊断数据的日期和时间（使用 UTC 格式）。
5. 点 Download Diagnostic Bundle。

流程

1. 生成 central-bundle 后，打开 ./central-bundle/central/02-endpoints-config.yaml 文件。
2. 在这个文件中，将自定义 YAML 配置添加到密钥 endpoint .yaml 的 data: 部分。确保您保持了 YAML 配置的 4 个空格缩进。
3. 照常继续安装说明。Red Hat Advanced Cluster Security for Kubernetes 使用指定的配置。

流程

1. 下载现有的配置映射：

   $ oc -n stackrox get cm/central-endpoints -o go-template='{{index .data "endpoints.yaml"}}'  > <directory_path>/central_endpoints.yaml

2. 在下载的 central_endpoints.yaml 文件中，指定您的自定义 YAML 配置。

3. 上传并应用修改后的 central_endpoints.yaml 配置文件：

   $ oc -n stackrox create cm central-endpoints --from-file=endpoints.yaml=<directory-path>/central-endpoints.yaml -o yaml --dry-run | \
   oc label -f - --local -o yaml app.kubernetes.io/name=stackrox | \
   oc apply -f -

4. 重新启动中心.

流程

1. 克隆 allow-ext-to-central Kubernetes 网络策略：

   $ oc -n stackrox get networkpolicy.networking.k8s.io/allow-ext-to-central -o yaml > <directory_path>/allow-ext-to-central-custom-port.yaml

2. 使用它作为创建网络策略的引用，并在该策略中指定您要公开的端口号。确保在 YAML 文件的 metadata 部分更改网络策略名称，使其不会影响内置的 allow-ext-to-central 策略。

流程

1. 对服务进行补丁以公开端口号 9090。

   1. 对 Sensor 服务进行补丁：

      $ oc -n stackrox patch svc/sensor -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}' 1

      1

      如果使用 Kubernetes，请输入 kubectl 而不是 oc。

   2. 对中央服务进行补丁：

      $ oc -n stackrox patch svc/central -p '{"spec":{"ports":[{"name":"monitoring","port":9090,"protocol":"TCP","targetPort":9090}]}}'

2. 修改网络策略以允许入口。

   $ oc apply -f - <<EOF 1
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     labels:
       app.kubernetes.io/name: stackrox
     name: allow-monitoring
     namespace: stackrox
   spec:
     ingress:
     - ports:
       - port: 9090
         protocol: TCP
     podSelector:
       matchExpressions:
       - {key: app, operator: In, values: [central, sensor, collector]}
     policyTypes:
     - Ingress
   EOF

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

流程

1. 在 RHACS 门户网站中，进入 Platform Configuration → Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Generic Webhook 或 Splunk。
3. 填写所需信息，再打开 Enable Audit Logging 切换。