StackRox Kubernetes Security Platform

StackRox Kubernetes Security Platformは、コンテナ環境のリスク分析を実行し、可視性とランタイムアラートを提供し、環境の堅牢化によってセキュリティを積極的に向上させるための推奨事項を提供します。StackRoxは、ビルド、デプロイ、ランタイムというコンテナライフサイクルのすべての段階と統合します。

StackRox Kubernetes Security Platformは、以前はPreventとして知られていた製品を基盤として構築されており、そのPrevent自体はMitigateおよびApolloと呼ばれていました。コードやドキュメントには、これらの以前の名前への言及がある場合があります。

コミュニティ

Slack (#stackrox) からお問い合わせいただけます。その他の方法については、コミュニティハブ stackrox.io にお立ち寄りください。

イベントの最新情報、ブログ、その他のリソースについては、StackRoxコミュニティサイト stackrox.io をフォローしてください。

StackRoxの行動規範についてはこちら。

脆弱性やバグの報告についてはこちら。

StackRoxのデプロイ

Operatorを使用したインストール

リリース4.10以降、Operatorを使用したStackRoxのインストールが可能です。

[!WARNING] 以下のインストール方法は非推奨です。

Helmを使用したクイックインストール

StackRoxはHelmチャートを使用したクイックインストールを提供しています。Helmインストールガイドに従って、システムにhelmCLIをインストールしてください。その後、helmクイックインストールスクリプトを実行するか、設定オプションについてはHelmを使用した手動インストールのセクションに進んでください。

Helmインストールスクリプトを使用したStackRoxのインストール

```sh /bin/bash <(curl -fsSL https://raw.githubusercontent.com/stackrox/stackrox/master/scripts/quick-helm-install.sh) ``` StackRoxのデフォルトのデプロイメントには、特定のCPUおよびメモリ要求があり、十分なリソースが利用できない場合、小さな（例：開発）クラスタで失敗する可能性があります。リソースが限られた小規模クラスタにStackRoxをインストールするには、`--small`コマンドラインオプションを使用できます。本番環境のデプロイメントではこのオプションを使用することは推奨されません。```sh /bin/bash <(curl -fsSL https://raw.githubusercontent.com/stackrox/stackrox/master/scripts/quick-helm-install.sh) --small ``` このスクリプトは、StackRox Helmリポジトリを追加し、管理者パスワードを生成し、stackrox-central-servicesをインストールし、stackrox-secured-cluster-servicesをプロビジョニングするためのinitバンドルを作成し、最後に同じクラスタにstackrox-secured-cluster-servicesをインストールします。

最後に、スクリプトは自動的にブラウザを開き、StackRoxにログインします。証明書は自己署名であるため、証明書の警告が表示される可能性があります。警告の詳細については、StackRoxユーザーインターフェース（UI）へのアクセスセクションを参照してください。認証後、https://localhost:8000/main/dashboardを使用してダッシュボードにアクセスできます。

Helmを使用した手動インストール

Helmインストールガイドに従って、システムにhelmCLIを入手してください。

Helmを使用したデプロイは4つのステップで構成されています。

StackRoxリポジトリをHelmに追加する
Helmを使用してStackRox Central Servicesを起動する
クラスタ構成とサービスID（initバンドル）を作成する
その構成と認証情報を使用してStackRox Secured Cluster Servicesをデプロイする（このステップは、StackRox Central Serviceにさらにクラスタを追加するために複数回実行できます）

StackRox Central Servicesのインストール

まず、StackRox Central ServicesがKubernetesクラスタに追加されます。これにはUIとスキャナーが含まれます。開始するには、stackrox/helm-charts/opensourceリポジトリをHelmに追加します。```sh helm repo add stackrox https://raw.githubusercontent.com/stackrox/helm-charts/main/opensource/

リポジトリ内の利用可能なすべてのHelmチャートを表示するには、次のコマンドを実行します（非リリースビルドも表示する場合は、`--devel`オプションを追加してください）```sh
helm search repo stackrox

stackrox-central-services をインストールするには、安全なパスワードが必要です。このパスワードは、後で UI ログイン時や init bundle の作成時に必要になります。```sh ROX_ADMIN_PASSWORD="$(openssl rand -base64 20 | tr -d '/=+')"

ここから、stackrox-central-services をインストールして、Central および Scanner コンポーネントをクラスターにデプロイできます。

> **注:**
> 複数のクラスターを保護する場合でも、デプロイする stackrox-central-services のインスタンスは1つだけ必要です。

インストールを実行するには、クラスターのサイズに応じて以下のコマンドのいずれかを選択してください。

#### デフォルトの Central インストール

適度なサイズのクラスターにインストールする場合は、デフォルトのインストールコマンドを使用します：```sh
helm upgrade --install -n stackrox --create-namespace stackrox-central-services \
  stackrox/stackrox-central-services \
  --set central.adminPassword.value="${ROX_ADMIN_PASSWORD}" \
  --set central.persistence.none="true"

リソースが限られたクラスタでのCentralインストール

シングルノードクラスタにインストールしている場合、またはデフォルトのインストールによりリソース不足でpodsがpending状態のままスタックする場合は、代わりに以下のコマンドを使用してstackrox-central-servicesのリソース要件を削減してください。これらのリソース削減設定は本番環境には適していないことに注意してください。```sh helm upgrade --install -n stackrox --create-namespace stackrox-central-services
stackrox/stackrox-central-services
--set central.adminPassword.value="${ROX_ADMIN_PASSWORD}"
--set central.persistence.none="true"
--set central.resources.requests.memory=1Gi
--set central.resources.requests.cpu=1
--set central.resources.limits.memory=4Gi
--set central.resources.limits.cpu=1
--set central.db.resources.requests.memory=1Gi
--set central.db.resources.requests.cpu=500m
--set central.db.resources.limits.memory=4Gi
--set central.db.resources.limits.cpu=1
--set scanner.autoscaling.disable=true
--set scanner.replicas=1
--set scanner.resources.requests.memory=500Mi
--set scanner.resources.requests.cpu=500m
--set scanner.resources.limits.memory=2500Mi
--set scanner.resources.limits.cpu=2000m

</details>

<details><summary>StackRox Secured Cluster Services のインストール</summary>

次に、セキュリティ保護されたクラスターコンポーネントをデプロイして、Kubernetes ノードから情報を収集する必要があります。

`CLUSTER_NAME` シェル変数に、セキュリティ保護されたクラスターに意味のあるクラスター名を設定します。この名前により、StackRox UI のクラスターリストでクラスターが識別されます。```sh
CLUSTER_NAME="my-secured-cluster"

CentralのSecured Cluster Servicesが通信するエンドポイントを設定します。stackrox-secured-cluster-servicesをstackrox-central-servicesと同じクラスターにデプロイする場合は、そのままの値にしておきます。それ以外の場合は、Centralがアクセス可能なエンドポイントに値を変更します。```sh CENTRAL_ENDPOINT="central.stackrox.svc:443"

初期化シークレットを含むinitバンドルを生成します。initバンドルは `stackrox-init-bundle.yaml` に保存され、以下に示すように、それを使用してセキュア化されたクラスタをプロビジョニングします。```sh
echo "$ROX_ADMIN_PASSWORD" | \
kubectl -n stackrox exec -i deploy/central -- bash -c 'ROX_ADMIN_PASSWORD=$(cat) roxctl --insecure-skip-tls-verify \
  central init-bundles generate stackrox-init-bundle --output -' > stackrox-init-bundle.yaml

その後、生成したinitバンドルを使用してstackrox-secured-cluster-servicesをインストールします。

インストールを実行するには、クラスターのサイズに応じて以下のコマンドのいずれかを選択してください。

デフォルトのSecured Cluster Servicesインストール

適度なサイズのクラスターにインストールする場合は、デフォルトのインストールコマンドを使用してください：```sh helm upgrade --install -n stackrox --create-namespace stackrox-secured-cluster-services
stackrox/stackrox-secured-cluster-services
-f stackrox-init-bundle.yaml
--set clusterName="$CLUSTER_NAME"
--set centralEndpoint="$CENTRAL_ENDPOINT"

#### リソース制限のあるクラスターでのSecured Cluster Servicesのインストール

stackrox v4.11.2

目次