Configuration du référentiel Helm Sysdig

Ajoutez le référentiel Workload Protection Helm à votre instance Helm.

1. Définissez le contexte du cluster.

   ibmcloud ks cluster config --cluster <CLUSTER_NAME>
   

2. Ajoutez le dépôt Helm.

   helm repo add sysdig https://charts.sysdig.com
   

3. Mettez à jour le référentiel pour récupérer les dernières versions de tous les graphiques de l' Helm.

   helm repo update
   

4. Répertoriez les graphiques « Helm » actuellement disponibles pour le référentiel Sysdig.

   helm search repo sysdig
   

5. Vérifiez que le graphique « sysdig/sysdig-deploy » ( Helm ) figure bien dans la liste.

Créer le fichier de valeurs « YAML »

Définissez un fichier « YAML » et indiquez-y les valeurs nécessaires au déploiement de l'agent « Workload Protection » et des composants Secure que vous prévoyez de déployer. Par exemple, nommez le fichier « agent-values-monitor-secure.yaml ».

Le fichier « YAML » ci-dessous est un modèle que vous pouvez utiliser pour configurer l'agent « Workload Protection » et les composants Secure. Vous pouvez personnaliser le fichier en supprimant ou en mettant en commentaire ( # ) les sections qui ne sont pas nécessaires pour votre agent.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

Où :

CLUSTER_NAME

Le nom du cluster sur lequel vous déployez l'agent.

SERVICE_ACCESS_KEY

La clé d'accès à l'instance d' Workload Protection.

INGESTION_ENDPOINT

Le point de terminaison d'ingestion de l'instance. Par exemple, ingest.us-east.security-compliance-secure.cloud.ibm.com.

API_ENDPOINT

Le point de terminaison de l'API de l'instance. Par exemple, us-east.security-compliance-secure.cloud.ibm.com.

Installez le graphique « Helm »

Pour déployer l'agent, les composants Secure ou les deux, installez le graphique « sysdig/sysdig-deploy ». Vous pouvez installer le graphique à l'aide d'un fichier d' YAML s de variables comme celui que vous avez configuré à l'étape précédente, ou bien configurer les variables directement.

Exécutez la commande suivante pour installer l'agent à l'aide du chart « Helm » et du fichier de variables « YAML » :

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

L'exemple suivant présente un fichier type contenant les valeurs d' Helm s pour la région d' us-east:

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      api_url: https://private.us-east.security-compliance-secure.cloud.ibm.com
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true