클러스터 컨텍스트 설정

1. 계정에 로그인하십시오. 연합 계정이 있는 경우, --sso 옵션을 포함하십시오.

   ibmcloud login [-g <resource_group>] [--sso]
   

2. 클러스터에 대한 kubeconfig 구성 파일을 다운로드하여 kubeconfig의 기존 ~/.kube/config 또는 KUBECONFIG 환경 변수의 마지막 파일에 추가하십시오.

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. 브라우저에서 클러스터 컨트롤러의 주소인 URL 로 이동한 후, /console 를 추가하세요. 예를 들어, https://c0.containers.cloud.ibm.com:23652/console입니다.

4. Red Hat OpenShift 웹 콘솔의 메뉴 모음에서 프로필 IAM#user.name@email.com > 로그인 명령 복사 을 클릭합니다. CLI에서 인증을 수행하려면 ‘ oc login ’ 토큰 명령어를 확인하고 이를 명령줄에 복사하여 입력하십시오.

5. 버전을 확인하여 클러스터에서 oc 명령이 올바르게 실행되는지 확인하십시오.

   oc version
   

   출력 예:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

Sysdig Helm 저장소 설정

Workload Protection Helm 저장소를 Helm 인스턴스에 추가하십시오.

1. 클러스터 컨텍스트를 설정합니다.

   ibmcloud ks cluster config --cluster <CLUSTER_NAME>
   

2. Helm 저장소를 추가하세요.

   helm repo add sysdig https://charts.sysdig.com
   

3. 리포지토리를 업데이트하여 모든 Helm 차트의 최신 버전을 가져옵니다.

   helm repo update
   

4. 현재 Sysdig 저장소에서 사용할 수 있는 ‘ Helm ’ 차트를 나열해 주세요.

   helm search repo sysdig
   

5. sysdig/sysdig-deploy 의 ‘ Helm ’ 차트가 목록에 포함되어 있는지 확인하십시오.

Helm 값 파일 작성

YAML 파일을 정의하고, 배포할 예정인 Workload Protection 구성 요소에 대한 값을 포함시키십시오. 예를 들어, 파일 이름을 ‘ agent-values-monitor-secure.yaml ’로 지정하세요.

다음의 YAML 은 Workload Protection 구성 요소를 구성하는 데 사용할 수 있는 템플릿입니다. 에이전트 배포에 필요하지 않은 섹션을 삭제하거나 # 로 주석 처리하여 파일을 사용자 정의할 수 있습니다.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_SATELLITE_ENDPOINT
    collectorPort: INGESTION_SATELLITE_ENDPOINT_PORT
  slim:
    enabled: true
global:
  clusterConfig:
    name: CLUSTER_NAME
  kspm:
    deploy: true
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  secure:
    vulnerabilityManagement:
      newEngineOnly: true
  nodeAnalyzer:
    runtimeScanner:
      deploy: false
    benchmarkRunner:
      deploy: false
    hostScanner:
      deploy: false
    deploy: true
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
kspmCollector:
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
clusterScanner:
  enabled: true
  eveEnabled: true
  sslVerifyCertificate: false

여기서:

CLUSTER_NAME

에이전트를 배포할 클러스터의 이름입니다.

SERVICE_ACCESS_KEY

Workload Protection 인스턴스의 액세스 키.

INGESTION_SATELLITE_ENDPOINT

앞서 추출한 Satellite 엔드포인트는 인제스트 엔드포인트를 가리킵니다. 예를 들어, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud입니다.

INGESTION_SATELLITE_ENDPOINT_PORT

앞서 추출한 Satellite 엔드포인트의 포트로, 이 엔드포인트는 ingest 엔드포인트를 가리킵니다. 예: 30771.

API_ENDPOINT

앞서 추출한 Satellite 엔드포인트는 Workload Protection 비공개 API 엔드포인트를 가리킵니다. 예를 들어, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924입니다. 이 경우 호스트 이름과 포트가 모두 함께 정의됩니다.

Helm 차트를 설치하세요

에이전트, Workload Protection 구성 요소 또는 둘 다를 배포하려면 sysdig/sysdig-deploy 차트를 설치하고, 이전 단계에서 구성한 YAML 변수 파일을 사용하십시오.

helm 차트를 사용하여 다음 명령을 실행하여 에이전트를 설치하십시오.

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

Helm 값 파일을 사용하지 않고 Workload Protection 구성 요소를 직접 설치하려면 다음 명령을 실행하면 됩니다. --set 를 사용하여 모든 변수를 설정하십시오.

helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe --create-namespace \
    --set agent.ebpf.enabled=true \
    --set agent.ebpf.kind=universal_ebpf \
    --set global.sysdig.accessKey=<SERVICE_ACCESS_KEY> \
    --set global.sysdig.apiHost=<API_ENDPOINT> \
    --set agent.collectorSettings.collectorHost=<INGESTION_SATELLITE_ENDPOINT> \
    --set agent.collectorSettings.collectorPort=<INGESTION_SATELLITE_ENDPOINT_PORT> \
    --set nodeAnalyzer.natsUrl=wss://<API_ENDPOINT> \
    --set nodeAnalyzer.nodeAnalyzer.runtimeScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.hostScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.sslVerifyCertificate=false \
    --set nodeAnalyzer.secure.vulnerabilityManagement.newEngineOnly=true \
    --set global.kspm.deploy=true \
    --set global.clusterConfig.name=<CLUSTER_NAME> \
    --set kspmCollector.natsUrl=wss://<API_ENDPOINT> \
    --set kspmCollector.sslVerifyCertificate=false \
    --set clusterScanner.enabled=true \
    --set clusterScanner.eveEnabled=true \
    --set clusterScanner.sslVerifyCertificate=true

여기서:

CLUSTER_NAME

에이전트를 배포할 클러스터의 이름입니다.

SERVICE_ACCESS_KEY

Workload Protection 인스턴스의 액세스 키.

INGESTION_SATELLITE_ENDPOINT

앞서 추출한 Satellite 엔드포인트는 ingest 엔드포인트를 가리킵니다. 예: c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud.

INGESTION_SATELLITE_ENDPOINT_PORT

앞서 추출한 Satellite 엔드포인트의 포트로, 이 엔드포인트는 ingest 엔드포인트를 가리킵니다. 예: 30771.

API_ENDPOINT

앞서 추출한 Satellite 엔드포인트는 Workload Protection 비공개 API 엔드포인트를 가리킵니다. 예를 들어, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924입니다. 이 경우 호스트 이름과 포트가 모두 함께 정의됩니다.