OpenShift 文档正在迁移，很快将只在 docs.redhat.com（所有 Red Hat 产品文档的中心）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

开始使用 RHACS 云服务

Red Hat Advanced Cluster Security Cloud Service (RHACS 云服务) 为您的 Red Hat OpenShift 和 Kubernetes 集群提供安全服务。有关受支持的已保护集群平台的更多信息，请参阅Red Hat Advanced Cluster Security for Kubernetes 支持矩阵。

先决条件 (Prerequisites)

  • 确保您可以从 Red Hat Hybrid Cloud Console 访问**高级集群安全**菜单选项。

    要访问 RHACS 云服务控制台，您需要您的 Red Hat 单点登录 (SSO) 凭据，或者如果已配置，则需要其他身份提供商的凭据。请参阅ACS 控制台的默认访问权限。

安装步骤概述 (High-level overview of installation steps)

以下部分概述了安装步骤，并提供了相关文档的链接。

保护 Red Hat OpenShift 集群 (Securing Red Hat OpenShift clusters)

要使用 Operator 保护 Red Hat OpenShift 集群，请执行以下步骤：

  1. 验证您要保护的集群是否符合要求。

  2. 在 Red Hat Hybrid Cloud Console 中，创建一个**ACS 实例**。

  3. 在您想要保护的每个 Red Hat OpenShift 集群上，创建一个名为stackrox的项目。此项目将包含 RHACS 云服务的受保护集群的资源。

  4. 在 ACS 控制台中，创建一个初始化包。初始化包包含允许 RHACS 云服务的受保护集群与 ACS 控制台之间通信的密钥。

  5. 在每个 Red Hat OpenShift 集群上，应用初始化包，使用它来创建资源。

  6. 在每个 Red Hat OpenShift 集群上，安装 RHACS 运算符。

  7. 在每个 Red Hat OpenShift 集群上，在stackrox项目中使用运算符安装受保护的集群资源。

  8. 验证安装，确保受保护的集群可以与 ACS 实例通信。

要使用 Helm 图表或roxctl CLI 保护 Red Hat OpenShift 集群，请执行以下步骤

  1. 验证您要保护的集群是否符合要求。

  2. 在 Red Hat Hybrid Cloud Console 中，创建一个**ACS 实例**。

  3. 在您想要保护的每个 Red Hat OpenShift 集群上，创建一个名为stackrox的项目。此项目将包含 RHACS 云服务的受保护集群的资源。

  4. 在 ACS 控制台中，创建一个初始化包。初始化包包含允许 RHACS 云服务的受保护集群与 ACS 控制台之间通信的密钥。

  5. 在每个 Red Hat OpenShift 集群上，应用初始化包，使用它来创建资源。

  6. 在每个 Red Hat OpenShift 集群上，使用Helm 图表或roxctl CLI在stackrox项目中安装受保护的集群资源。

  7. 验证安装，确保受保护的集群可以与 ACS 实例通信。

保护 Kubernetes 集群

要保护 Kubernetes 集群，请执行以下步骤

  1. 验证您要保护的集群是否符合要求。

  2. 在 Red Hat Hybrid Cloud 控制台中，创建一个ACS 实例。

  3. 在 ACS 控制台中，创建一个初始化包。初始化包包含允许 RHACS 云服务的受保护集群与 ACS 控制台之间通信的密钥。

  4. 在每个 Kubernetes 集群上，应用初始化包，使用它来创建资源。

  5. 在每个 Kubernetes 集群上，使用 Helm 图表或roxctl CLI 安装受保护的集群资源。

  6. 验证安装，确保受保护的集群可以与 ACS 实例通信。

ACS 控制台的默认访问权限

默认情况下，用户可用的身份验证机制是使用 Red Hat 单点登录 (SSO) 进行身份验证。您不能删除或更改 Red Hat SSO 身份验证提供程序。但是，您可以更改最低访问角色并添加其他规则，或添加另一个身份提供程序。

要了解 ACS 中身份验证提供程序的工作原理，请参阅 了解身份验证提供程序。

为每个 ACS 控制台创建一个sso.redhat.com的专用 OIDC 客户端。所有 OIDC 客户端共享相同的sso.redhat.com领域。来自sso.redhat.com颁发的令牌的声明将映射到 ACS 颁发的令牌，如下所示：

  • realm_access.roles 到 groups

  • org_id 到 rh_org_id

  • is_org_admin 到 rh_is_org_admin

  • sub 到 userid

内置的 Red Hat SSO 身份验证提供程序具有必需的属性rh_org_id，其设置为分配给创建 RHACS 云服务实例的用户帐户的组织 ID。这是用户所属的组织帐户的 ID。这可以理解为用户所属的“租户”，并且由其拥有。只有具有相同组织帐户的用户才能使用 Red Hat SSO 身份验证提供程序访问 ACS 控制台。

要更好地控制对 ACS 控制台的访问，请配置另一个身份提供程序，而不是依赖 Red Hat SSO 身份验证提供程序。有关更多信息，请参阅 了解身份验证提供程序。要将另一个身份验证提供程序配置为登录页面上的第一个身份验证选项，其名称应按字典顺序小于Red Hat SSO。

最低访问角色设置为None。为该字段分配不同的值会使所有具有相同组织帐户的用户都能访问 RHACS 云服务实例。

在内置的 Red Hat SSO 身份验证提供程序中设置的其他规则包括：

  • 将您的userid映射到Admin的规则

  • 将组织管理员映射到Admin的规则

您可以添加更多规则，以允许具有相同组织帐户的其他用户访问 ACS 控制台。例如，您可以使用email作为密钥。