Configurar o contexto do cluster

1. Efetue login na sua conta. Se você tiver uma conta federada, inclua a opção --sso.

   ibmcloud login [-g <resource_group>] [--sso]
   

2. Faça download e inclua o arquivo de configuração kubeconfig para o seu cluster em seu kubeconfig existente em ~/.kube/config ou no último arquivo na variável de ambiente KUBECONFIG.

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. No seu navegador, acesse o endereço do controlador do seu cluster URL e acrescente /console. Por exemplo, https://c0.containers.cloud.ibm.com:23652/console.

4. Na barra de menus do console da web do Red Hat OpenShift, clique em seu perfil IAM#user.name@email.com > Copiar comando de login. Exiba e copie o comando “ oc login ” na sua linha de comando para se autenticar pela CLI.

5. Verifique se os comandos oc são executados corretamente com seu cluster verificando a versão.

   oc version
   

   Saída de exemplo:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

   Se você não puder executar operações que requerem permissões de Administrador, como listar todos os nós do trabalhador ou pods em um cluster, faça download dos certificados TLS e arquivos de permissão para o administrador do cluster executando o comando ibmcloud oc cluster config --cluster <cluster_name_or_ID> --admin.

Configurar o repositório do Sysdig Helm

Inclua o repositório do Helm do Workload Protection em sua instância do Helm.

1. Inclua o repositório Helm.

   helm repo add sysdig https://charts.sysdig.com
   

2. Atualize o repositório para baixar as versões mais recentes de todos os gráficos do Helm.

   helm repo update
   

3. Liste os gráficos do Helm que estão disponíveis atualmente no repositório do Sysdig.

   helm search repo sysdig
   

4. Verifique se o gráfico “ sysdig/sysdig-deploy ” ( Helm ) está listado.

Crie o arquivo de valores YAML

Defina um arquivo YAML e inclua os valores necessários para implantar o agente Workload Protection e os componentes do Secure que você pretende implantar. Por exemplo, nomeie o arquivo como “ agent-values-monitor-secure.yaml ”.

O arquivo a seguir, YAML, é um modelo que você pode usar para configurar o agente Workload Protection e os componentes do Secure. Você pode personalizar o arquivo removendo ou comentando com # as seções que não são necessárias para o seu agente.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: API_ENDPOINT
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: INGESTION_ENDPOINT:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true

Em que:

CLUSTER_NAME

O nome do cluster no qual você está implantando o agente.

SERVICE_ACCESS_KEY

A chave de acesso da instância do Workload Protection.

INGESTION_ENDPOINT

O endpoint de ingestão da instância. Por exemplo, ingest.us-east.security-compliance-secure.cloud.ibm.com.

API_ENDPOINT

O endpoint da API da instância. Por exemplo, us-east.security-compliance-secure.cloud.ibm.com.

Instale o gráfico “ Helm ”

Para implantar o agente, os componentes do Secure ou ambos, instale o gráfico “ sysdig/sysdig-deploy ” e utilize o arquivo de variáveis “ YAML ” que você configurou na etapa anterior.

Execute o comando a seguir para instalar o agente usando o gráfico do Helm:

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

O exemplo a seguir mostra um arquivo de valores de amostra do Helm para a região de us-east:

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: ingest.private.us-east.security-compliance-secure.cloud.ibm.com
  sysdig:
    settings:
      host_scanner:
        enabled: true
      kspm_analyzer:
        enabled: true
      sysdig_api_endpoint: private.us-east.security-compliance-secure.cloud.ibm.com
  extraVolumes:
    volumes:
    - name: root-vol
      hostPath:
        path: /
    - name: tmp-vol
      hostPath:
        path: /tmp
    mounts:
    - mountPath: /host
      name: root-vol
      readOnly: true
    - mountPath: /host/tmp
      name: tmp-vol
global:
  imageRegistry: icr.io/ext
  clusterConfig:
    name: my-cluster
  sysdig:
    accessKey: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx
    apiHost: private.us-east.security-compliance-secure.cloud.ibm.com
nodeAnalyzer:
  enabled: false
clusterShield:
  enabled: true
  cluster_shield:
    sysdig_endpoint:
      region: custom
      collector: ingest.private.us-east.security-compliance-secure.cloud.ibm.com:6443
    log_level: info
    features:
      admission_control:
        enabled: true
        container_vulnerability_management:
          enabled: true
        dry_run: false
      container_vulnerability_management:
        enabled: true
      audit:
        enabled: true
      posture:
        enabled: true