클러스터 컨텍스트 설정

1. 계정에 로그인하십시오. 연합 계정이 있는 경우, --sso 옵션을 포함하십시오.

   ibmcloud login [-g <resource_group>] [--sso]
   

2. 클러스터에 대한 kubeconfig 구성 파일을 다운로드하여 kubeconfig의 기존 ~/.kube/config 또는 KUBECONFIG 환경 변수의 마지막 파일에 추가하십시오.

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. 브라우저에서 클러스터 컨트롤러의 주소인 URL 로 이동한 후, /console 를 추가하세요. 예를 들어, https://c0.containers.cloud.ibm.com:23652/console입니다.

4. Red Hat OpenShift 웹 콘솔 메뉴에서 프로파일 IAM#user.name@email.com > 로그인 명령 복사를 클릭하십시오. CLI에서 인증을 수행하려면 ‘ oc login ’ 토큰 명령어를 확인하고 이를 명령줄에 복사하여 입력하십시오.

5. 버전을 확인하여 클러스터에서 oc 명령이 올바르게 실행되는지 확인하십시오.

   oc version
   

   출력 예:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

   관리자 권한이 필요한 오퍼레이션(예: 클러스터에 있는 모든 작업자 노드 또는 팟(Pod) 나열)을 수행할 수 없으면 ibmcloud oc cluster config --cluster <cluster_name_or_ID> --admin 명령을 실행하여 클러스터 관리자에 적합한 TLS 인증서 및 권한 파일을 다운로드하십시오.

Sysdig Helm 저장소 설정하기

Workload Protection Helm 저장소를 Helm 인스턴스에 추가하십시오.

1. Helm 저장소를 추가하세요.

   helm repo add sysdig https://charts.sysdig.com
   

2. 리포지토리를 업데이트하여 모든 Helm 차트의 최신 버전을 가져옵니다.

   helm repo update
   

3. 현재 Sysdig 저장소에서 사용할 수 있는 ‘ Helm ’ 차트를 나열해 주세요.

   helm search repo sysdig
   

4. sysdig/sysdig-deploy 의 ‘ Helm ’ 차트가 목록에 포함되어 있는지 확인하십시오.

YAML 값 파일을 생성합니다

YAML 파일을 정의하고, Workload Protection 에이전트와 배포할 예정인 보안 구성 요소의 값을 포함시키십시오. 예를 들어, 파일 이름을 ‘ agent-values-monitor-secure.yaml ’로 지정하세요.

다음의 YAML 는 Workload Protection 에이전트 및 Secure 구성 요소를 구성하는 데 사용할 수 있는 템플릿입니다. 에이전트에 필요하지 않은 섹션을 삭제하거나 # 로 주석 처리하여 파일을 사용자 정의할 수 있습니다.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: INGESTION_ENDPOINT:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

여기서:

CLUSTER_NAME

에이전트를 배포할 클러스터의 이름입니다.

SERVICE_ACCESS_KEY

Workload Protection 인스턴스의 액세스 키.

INGESTION_ENDPOINT

인스턴스의 수집 엔드포인트. 예를 들어, ingest.us-east.security-compliance-secure.cloud.ibm.com입니다.

API_ENDPOINT

인스턴스의 API 엔드포인트. 예를 들어, us-east.security-compliance-secure.cloud.ibm.com입니다.

Helm 차트를 설치하세요

에이전트, Secure 구성 요소 또는 둘 모두를 배포하려면 ‘ sysdig/sysdig-deploy ’ 차트를 설치하고, 이전 단계에서 구성한 변수 파일( YAML )을 사용하십시오.

helm 차트를 사용하여 다음 명령을 실행하여 에이전트를 설치하십시오.

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

다음 예제는 ‘ us-east ’ 지역에 대한 Helm 값 파일의 예시를 보여줍니다:

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true