OpenShift Security (2) - 安装 Red Hat Advanced Cluster Security（RHACS）

《OpenShift 4.x HOL教程汇总》
本文在 OpenShift4.15 + RHACS 4.4.3 环境中进行验证，但部分截图未更新。

环境要求

RHACS 安装需要 100G 左右的 PV，因此确认有足够的存储空间。

安装 RHACS Operator

1. 在 OpenShift 控制台上的“管理员”视图中的“OperatorHub”中找到“RHACS”，然后点击进入。
   
2. 在右侧滑出的页面中可以看到当前 Operator 版本是 “4.4.3”，然后点击 “安装”。
3. 然后在 “安装 Operator” 页面中使用默认配置，然后点击 “安装”。
4. 在 “安装的 Operator” 页面中可以看到已经安装好的 “Advanced Cluster Security for Kubernetes”。
   

创建 RHACS 环境

创建 Central 实例

1. 创建stackrox项目。

$ oc new-project stackrox

2. 进入 “Advanced Cluster Security for Kubernetes” Operator，按照以下YAML创建一个名为“stackrox-central-services”的“Central”实例。说明：可以调整“scaling”中的数量。

apiVersion: platform.stackrox.io/v1alpha1
kind: Central
metadata:
  name: stackrox-central-services
  namespace: stackrox
spec:
  central:
    exposure:
      loadBalancer:
        enabled: false
        port: 443
      nodePort:
        enabled: false
      route:
        enabled: true
    persistence:
      persistentVolumeClaim:
        claimName: stackrox-db
  egress:
    connectivityPolicy: Online
  scanner:
    analyzer:
      scaling:
        autoScaling: Disabled
        maxReplicas: 5
        minReplicas: 2
        replicas: 1
    scannerComponent: Enabled
  scannerV4:
    scannerComponent: Default

3. 执行命令获取 RHACS 的 admin 用户登录密码，或在控制台查看名为 central-htpasswd 的 secret 对象中 password 对应的密码。

$ oc get secret central-htpasswd -n stackrox -o go-template='{{index .data "password" | base64decode}}'

4. 在控制台的“开发者 ”视图中进入“拓扑” 查看 stack 项目，可以看到以下运行的 Deployment。
   

说明：在部署的时候如果出现 LimitRange 冲突情况，只需删除导致冲突的 LimitRange 即可。另外如果存储一直处于 “pending” 状态，可以尝试手动创建 PV。

5. 点击上图中 centeral 部署的 “打开 URI” 箭头，进入 ACS 控制台。然后用 admin 用户名和获得的密码登录 ACS 控制台。
   

将 OpenShift 集群注册到 RHACS

本步将运行 RHACS 的 OpenShift 集群注册到 RHACS 中。

创建 init bundle

1. 进入 RHACS 控制台，点击 Create init bundle。
   
2. 在以下页面中提供 Name 后点击 Download，然后保存生成的 init-bundle-Operator-secrets-cluster-init-bundle.yaml 文件。
   
3. 执行命令，根据 init-bundle-Operator-secrets-cluster-init-bundle.yaml 创建 secret 对象。

$ oc apply -f demo-cluster-cluster-init-secrets.yaml -n stackrox
secret/admission-control-tls created
secret/collector-tls created
secret/sensor-tls created

创建 Secured Cluster 实例

1. 在 “Advanced Cluster Security for Kubernetes” Operator中使用缺省YAML创建一个“Secured Cluster” 实例。

kind: SecuredCluster
apiVersion: platform.stackrox.io/v1alpha1
metadata:
  name: stackrox-secured-cluster-services
  namespace: stackrox
spec:
  clusterName: my-cluster

2. 可以在 stackrox-secured-cluster-services 中的 Resources 查看部署的资源。
   
3. 还可在控制台的“开发者”视图中进入“拓扑”查看运行的 Deployment，其中右侧是本节新部署的资源。
   

查看 RHACS 控制台

1. 在 RHACS 控制台中的 “Clusters” 中可以看到注册名为 my-cluster 的 OpenShift 集群，它的组件状态为全部为绿色。
   

2. 在 RHACS 控制台中的 “System Health” 查看集群组件状态，它的组件状态为全部为绿色。
   

3. 同时在 RHACS 控制台中的 Dashboard 可以看到该 OpenShift 集群的安全情况。
   

参考

https://redhat-scholars.github.io/acs-workshop/acs-workshop/index.html