Configurare il contesto del cluster

1. Accedi al tuo account. Se hai un account federato, includi l'opzione --sso.

   ibmcloud login [-g <resource_group>] [--sso]
   

2. Scarica il file di configurazione kubeconfig per il tuo cluster e aggiungilo al tuo file kubeconfig esistente in ~/.kube/config o all'ultimo file nella variabile di ambiente KUBECONFIG.

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. Nel browser, digita l'indirizzo del controller del cluster URL e aggiungi /console alla fine. Ad esempio, https://c0.containers.cloud.ibm.com:23652/console.

4. Dalla barra dei menu della console web di Red Hat OpenShift, clicca sul tuo profilo IAM#user.name@email.com > Copia comando di accesso. Visualizza e copia il comando " oc login " nella riga di comando per effettuare l'autenticazione dalla CLI.

5. Verifica che i comandi oc vengano eseguiti correttamente con il tuo cluster controllando la versione.

   oc version
   

   Output di esempio:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

   Se non è possibile eseguire operazioni che richiedono autorizzazioni di amministratore, come l'elenco di tutti i nodi di lavoro o dei pod in un cluster, scaricare i certificati e i file di autorizzazione TLS per l'amministratore del cluster eseguendo il comando ibmcloud oc cluster config --cluster <cluster_name_or_ID> --admin.

Configurare il repository Sysdig Helm

Aggiungi il repository Helm Workload Protection alla tua istanza Helm.

1. Aggiungi il repository Helm.

   helm repo add sysdig https://charts.sysdig.com
   

2. Aggiorna il repository per scaricare le ultime versioni di tutti i grafici Helm.

   helm repo update
   

3. Elenca i grafici " Helm " attualmente disponibili per il repository Sysdig.

   helm search repo sysdig
   

4. Verificare che sia presente il grafico " sysdig/sysdig-deploy " ( Helm ).

Creare i valori nel file YAML

Definire un file YAML e includere i valori necessari per l'installazione dell'agente Workload Protection e dei componenti Secure che si intende implementare. Ad esempio, assegna al file il nome “ agent-values-monitor-secure.yaml ”.

Il seguente file YAML è un modello che è possibile utilizzare per configurare l'agente Workload Protection e i componenti Secure. È possibile personalizzare il file rimuovendo o commentando con # le sezioni non necessarie per il proprio agente.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: INGESTION_ENDPOINT:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

Dove:

CLUSTER_NAME

Il nome del cluster in cui si sta effettuando la distribuzione dell'agente.

SERVICE_ACCESS_KEY

La chiave di accesso all'istanza di Workload Protection.

INGESTION_ENDPOINT

L'endpoint di acquisizione dell'istanza. Ad esempio, ingest.us-east.security-compliance-secure.cloud.ibm.com.

API_ENDPOINT

L'endpoint API dell'istanza. Ad esempio, us-east.security-compliance-secure.cloud.ibm.com.

Installa il grafico " Helm "

Per distribuire l'agente, i componenti Secure o entrambi, installa il grafico " sysdig/sysdig-deploy " e utilizza il file delle variabili " YAML " che hai configurato nel passaggio precedente.

Eseguire il seguente comando per installare l'agent utilizzando il diagramma Helm:

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

L'esempio seguente mostra un file di valori di esempio per l' Helm, relativo alla regione us-east:

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true