クラスタコンテキストを設定する

1. アカウントにログインします。 統合されたアカウントがある場合は、--sso オプションを含めます。

   ibmcloud login [-g <resource_group>] [--sso]
   

2. クラスターの kubeconfig 構成ファイルをダウンロードし、kubeconfig の既存の ~/.kube/config に追加するか、KUBECONFIG 環境変数の最後のファイルに追加します。

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. お使いのブラウザで、クラスタコントローラーのアドレス URL にアクセスし、その末尾に /console を追加してください。 例えば、https://c0.containers.cloud.ibm.com:23652/console です。

4. Red Hat OpenShift Web コンソールのメニュー・バーで、自分のプロファイルの**「IAM#user.name@email.com」>「ログイン・コマンドのコピー (Copy Login Command)」**をクリックします。 CLI から認証を行うには、 oc login トークンコマンドを表示し、その内容をコマンドラインにコピーしてください。

5. バージョンを調べて、ご使用のクラスターで oc コマンドが正常に実行されることを確認します。

   oc version
   

   出力例:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

   クラスター内のすべてのワーカー・ノードまたはポッドのリストなど、管理者権限を必要とする操作を実行できない場合は、ibmcloud oc cluster config --cluster <cluster_name_or_ID> --admin コマンドを実行して、クラスター管理者の TLS 証明書と許可ファイルをダウンロードします。

Sysdigの Helm リポジトリを設定する

「 Workload Protection 」 Helm リポジトリを、 Helm インスタンスに追加してください。

1. Helm リポジトリを追加します。

   helm repo add sysdig https://charts.sysdig.com
   

2. リポジトリを更新して、すべての Helm チャートの最新バージョンを取得します。

   helm repo update
   

3. Sysdig リポジトリで現在利用可能な「 Helm 」のチャートを一覧表示してください。

   helm search repo sysdig
   

4. 「 sysdig/sysdig-deploy 」の「 Helm 」チャートがリストされていることを確認してください。

YAML ファイルを作成する

YAML ファイルを定義し、 Workload Protection エージェントおよび展開を予定しているSecureコンポーネントを展開するための値を記述します。 たとえば、ファイル名を「 agent-values-monitor-secure.yaml 」とします。

以下の「 YAML 」は、 Workload Protection エージェントおよびSecureコンポーネントの設定に使用できるテンプレートです。 エージェントで必要のないセクションを削除するか、 # でコメントアウトすることで、ファイルをカスタマイズできます。

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: INGESTION_ENDPOINT:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

ここで、

CLUSTER_NAME

エージェントを展開するクラスタの名前。

SERVICE_ACCESS_KEY

Workload Protection インスタンスのアクセスキー。

INGESTION_ENDPOINT

インスタンスの取り込みエンドポイント。 例えば、ingest.us-east.security-compliance-secure.cloud.ibm.com です。

API_ENDPOINT

インスタンスのAPIエンドポイント。 例えば、us-east.security-compliance-secure.cloud.ibm.com です。

「 Helm 」チャートをインストールする

エージェント、Secureコンポーネント、あるいはその両方をデプロイするには、「 sysdig/sysdig-deploy 」チャートをインストールし、前の手順で設定した YAML ファイル内の変数を使用してください。

helm チャートを使用してエージェントをインストールするには、以下のコマンドを実行します。

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

以下の例は、 us-east 地域向けの Helm 値ファイルのサンプルを示しています

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true