Sysdig Helm リポジトリーのセットアップ

「 Workload Protection 」 Helm リポジトリを、 Helm インスタンスに追加してください。

1. クラスター・コンテキストを設定します。

   ibmcloud ks cluster config --cluster <CLUSTER_NAME>
   

2. Helm リポジトリを追加します。

   helm repo add sysdig https://charts.sysdig.com
   

3. リポジトリを更新して、すべての Helm チャートの最新バージョンを取得します。

   helm repo update
   

4. Sysdig リポジトリで現在利用可能な「 Helm 」のチャートを一覧表示してください。

   helm search repo sysdig
   

5. 「 sysdig/sysdig-deploy 」の「 Helm 」チャートがリストされていることを確認してください。

YAML ファイルを作成する

YAML ファイルを定義し、 Workload Protection エージェントおよび展開を予定しているSecureコンポーネントを展開するための値を含めます。 たとえば、ファイル名を「 agent-values-monitor-secure.yaml 」とします。

以下の「 YAML 」は、 Workload Protection エージェントおよびSecureコンポーネントの設定に使用できるテンプレートです。 エージェントで必要のないセクションを削除するか、 # でコメントアウトすることで、ファイルをカスタマイズできます。

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

ここで、

CLUSTER_NAME

エージェントを展開するクラスタの名前。

SERVICE_ACCESS_KEY

Workload Protection インスタンスのアクセスキー。

INGESTION_ENDPOINT

インスタンスの取り込みエンドポイント。 例えば、ingest.us-east.security-compliance-secure.cloud.ibm.com です。

API_ENDPOINT

インスタンスのAPIエンドポイント。 例えば、us-east.security-compliance-secure.cloud.ibm.com です。

「 Helm 」チャートをインストールする

エージェント、Secureコンポーネント、あるいはその両方をデプロイするには、「 sysdig/sysdig-deploy 」チャートをインストールしてください。 前の手順で設定したような変数 YAML ファイルを使用してチャートをインストールすることも、変数を直接設定することもできます。

Helm チャートと変数 YAML ファイルを使用してエージェントをインストールするには、次のコマンドを実行してください：

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

以下の例は、 us-east 地域向けの Helm 値ファイルのサンプルを示しています：

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      api_url: https://private.us-east.security-compliance-secure.cloud.ibm.com
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true