OpenShift 文档正在迁移，很快将只能在 docs.redhat.com（所有 Red Hat 产品文档的所在地）访问。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

将合规性操作符与 Red Hat Advanced Cluster Security for Kubernetes 配合使用

您可以配置 RHACS 以使用合规性操作符进行 OpenShift Container Platform 集群的合规性报告和修复。合规性操作符的结果将在 RHACS 合规性仪表板上报告。

您必须在安装 Central 的集群以及您想要对其进行合规性审查的每个受保护集群上安装合规性操作符。

合规性操作符自动审查许多技术实现，并将它们与行业标准、基准和基线的某些方面进行比较。

合规性操作符不是审计员。要遵守或认证这些各种标准，您必须聘请授权的审计员（例如合格安全评估师 (QSA)、联合授权委员会 (JAB) 或其他行业公认的监管机构）来评估您的环境。

合规性操作符根据与这些标准相关的普遍可用信息和实践提出建议，并可以协助进行修复，但实际合规性是您的责任。您需要与授权的审计员合作才能达到标准合规性。

有关最新更新，请参阅合规性操作符发行说明。

安装合规性操作符

使用 Operator Hub 安装合规性操作符。

步骤

  1. 在 Web 控制台中，转到**操作符** → **OperatorHub** 页面。

  2. 在**按关键字筛选**框中输入**compliance operator** 以查找合规性操作符。

  3. 选择**合规性操作符**以查看详细信息页面。

  4. 阅读有关操作符的信息，然后单击**安装**。

  • 如果您使用合规性功能，则可以使用 RHACS 创建合规性扫描计划来安排扫描。

    有关使用合规性功能安排合规性扫描的更多信息，请参见“自定义和自动化合规性扫描”。

  • 如果您创建扫描计划，则*无需*在合规性操作符上创建ScanSettingBinding。
后续步骤
其他资源

配置 ScanSettingBinding 对象

通过在 `openshift-compliance` 命名空间中创建一个 `ScanSettingBinding` 对象，您可以使用命令行界面 (CLI) 或用户界面 (UI) 使用 `cis` 和 `cis-node` 配置文件扫描您的集群。

此示例使用 `ocp4-cis` 和 `ocp4-cis-node` 配置文件，但 OpenShift Container Platform 提供其他配置文件。

更多信息，请参见“了解合规性操作符”。
前提条件

  • 您已安装合规性操作符。

步骤

  • 要从 CLI 创建 `ScanSettingBinding` 对象，请执行以下步骤

    1. 使用以下内容创建一个名为 `sscan.yaml` 的文件

      apiVersion: compliance.openshift.io/v1alpha1
kind: ScanSettingBinding
metadata:
  name: cis-compliance
profiles:
  - name: ocp4-cis-node
    kind: Profile
    apiGroup: compliance.openshift.io/v1alpha1
  - name: ocp4-cis
    kind: Profile
    apiGroup: compliance.openshift.io/v1alpha1
settingsRef:
  name: default
  kind: ScanSetting
  apiGroup: compliance.openshift.io/v1alpha1

    2. 运行以下命令创建 `ScanSettingBinding` 对象

      $ oc create -f sscan.yaml -n openshift-compliance

      如果成功，将显示以下消息

      $ scansettingbinding.compliance.openshift.io/cis-compliance created

  • 要从 UI 创建 `ScanSettingBinding` 对象，请执行以下步骤

    1. 将活动项目更改为 `openshift-compliance`。

    2. 单击+ 打开导入 YAML 页面。

    3. 粘贴上一个示例中的 YAML，然后单击创建。

验证

  1. 在 RHACS 中运行合规性扫描。

    有关如何使用合规性功能运行合规性扫描的更多信息，请参见“检查基础设施的合规性状态”。

  2. 确保显示 `ocp4-cis` 和 `ocp4-cis-node` 结果。

  • 如果您使用的是 CLI，则可以从仪表板页面查看合规性扫描结果。

    有关如何从仪表板页面查看合规性扫描结果的更多信息，请参见“查看您环境中的合规性标准”。

  • 如果您使用的是 UI，则可以从仪表板和覆盖率页面查看合规性扫描结果。

    有关如何从覆盖率页面查看合规性扫描结果的更多信息，请参见“评估跨集群的配置文件合规性”。
其他资源