Configurar o contexto do cluster

1. Efetue login na sua conta. Se você tiver uma conta federada, inclua a opção --sso.

   ibmcloud login [-g <resource_group>] [--sso]
   

2. Faça download e inclua o arquivo de configuração kubeconfig para o seu cluster em seu kubeconfig existente em ~/.kube/config ou no último arquivo na variável de ambiente KUBECONFIG.

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. No seu navegador, acesse o endereço do controlador do seu cluster URL e acrescente /console. Por exemplo, https://c0.containers.cloud.ibm.com:23652/console.

4. Na barra de menus do console da web do Red Hat OpenShift, clique no seu perfil IAM#user.name@email.com > Copiar comando de login. Exiba e copie o comando “ oc login ” na sua linha de comando para se autenticar pela CLI.

5. Verifique se os comandos oc são executados corretamente com seu cluster verificando a versão.

   oc version
   

   Saída de exemplo:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

Configure o repositório do Sysdig Helm

Inclua o repositório do Helm do Workload Protection em sua instância do Helm.

1. Configure o contexto do cluster.

   ibmcloud ks cluster config --cluster <CLUSTER_NAME>
   

2. Inclua o repositório Helm.

   helm repo add sysdig https://charts.sysdig.com
   

3. Atualize o repositório para baixar as versões mais recentes de todos os gráficos do Helm.

   helm repo update
   

4. Liste os gráficos do Helm que estão disponíveis atualmente no repositório do Sysdig.

   helm search repo sysdig
   

5. Verifique se o gráfico “ sysdig/sysdig-deploy ” ( Helm ) está listado.

Crie o arquivo de valores Helm

Defina um arquivo YAML e inclua os valores para implantar os componentes do Workload Protection que você pretende implantar. Por exemplo, nomeie o arquivo como “ agent-values-monitor-secure.yaml ”.

O arquivo YAML a seguir é um modelo que você pode usar para configurar os componentes do Workload Protection. Você pode personalizar o arquivo removendo ou comentando com # as seções que não são necessárias para a implantação do seu agente.

agent:
  ebpf:
    enabled: true
    kind: universal_ebpf
  collectorSettings:
    collectorHost: INGESTION_SATELLITE_ENDPOINT
    collectorPort: INGESTION_SATELLITE_ENDPOINT_PORT
  slim:
    enabled: true
global:
  clusterConfig:
    name: CLUSTER_NAME
  kspm:
    deploy: true
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  secure:
    vulnerabilityManagement:
      newEngineOnly: true
  nodeAnalyzer:
    runtimeScanner:
      deploy: false
    benchmarkRunner:
      deploy: false
    hostScanner:
      deploy: false
    deploy: true
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
kspmCollector:
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
clusterScanner:
  enabled: true
  eveEnabled: true
  sslVerifyCertificate: false

Em que:

CLUSTER_NAME

O nome do cluster no qual você está implantando o agente.

SERVICE_ACCESS_KEY

A chave de acesso da instância do Workload Protection.

INGESTION_SATELLITE_ENDPOINT

O endpoint Satellite, extraído anteriormente, que aponta para o endpoint de ingestão. Por exemplo, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud.

INGESTION_SATELLITE_ENDPOINT_PORT

A porta do endpoint Satellite, extraída anteriormente, que aponta para o endpoint ingest. Por exemplo, 30771.

API_ENDPOINT

O endpoint Satellite, extraído anteriormente, que aponta para o endpoint da API privada Workload Protection. Por exemplo, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924. Nesse caso, tanto o nome do host quanto a porta são definidos juntos

Instale o gráfico “ Helm ”

Para implantar o agente, os componentes do Workload Protection ou ambos, instale o gráfico sysdig/sysdig-deploy e utilize o arquivo de variáveis YAML que você configurou na etapa anterior.

Execute o comando a seguir para instalar o agente usando o gráfico do Helm:

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

Se você quiser instalar diretamente os componentes do Workload Protection sem um arquivo de valores do Helm, pode executar o comando a seguir. Use --set para definir todas as variáveis.

helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe --create-namespace \
    --set agent.ebpf.enabled=true \
    --set agent.ebpf.kind=universal_ebpf \
    --set global.sysdig.accessKey=<SERVICE_ACCESS_KEY> \
    --set global.sysdig.apiHost=<API_ENDPOINT> \
    --set agent.collectorSettings.collectorHost=<INGESTION_SATELLITE_ENDPOINT> \
    --set agent.collectorSettings.collectorPort=<INGESTION_SATELLITE_ENDPOINT_PORT> \
    --set nodeAnalyzer.natsUrl=wss://<API_ENDPOINT> \
    --set nodeAnalyzer.nodeAnalyzer.runtimeScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.hostScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.sslVerifyCertificate=false \
    --set nodeAnalyzer.secure.vulnerabilityManagement.newEngineOnly=true \
    --set global.kspm.deploy=true \
    --set global.clusterConfig.name=<CLUSTER_NAME> \
    --set kspmCollector.natsUrl=wss://<API_ENDPOINT> \
    --set kspmCollector.sslVerifyCertificate=false \
    --set clusterScanner.enabled=true \
    --set clusterScanner.eveEnabled=true \
    --set clusterScanner.sslVerifyCertificate=true

Em que:

CLUSTER_NAME

O nome do cluster no qual você está implantando o agente.

SERVICE_ACCESS_KEY

A chave de acesso da instância do Workload Protection.

INGESTION_SATELLITE_ENDPOINT

O endpoint Satellite, extraído anteriormente, que aponta para o endpoint ingest. Por exemplo, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud.

INGESTION_SATELLITE_ENDPOINT_PORT

A porta do endpoint Satellite, extraída anteriormente, que aponta para o endpoint ingest. Por exemplo, 30771.

API_ENDPOINT

O endpoint Satellite, extraído anteriormente, que aponta para o endpoint da API privada Workload Protection. Por exemplo, c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924. Nesse caso, tanto o nome do host quanto a porta são definidos juntos