使用 HELM 图表在 Kubernetes 集群中管理 Workload Protection 代理程序
您可以使用 Helm Chart 在 Kubernetes 集群上安装,升级和删除 Workload Protection 代理程序。
准备工作
-
在本地计算机上安装 V 3 Helm CLI 的最新发行版。
需要 Helm 3.6 或更高版本。
Helm 是 Kubernetes 软件包管理器,它使用 Helm Chart 来定义,安装和升级集群中的复杂 Kubernetes 应用程序。 Helm chart 用于对规范打包,这些规范可为构建应用程序的 Kubernetes 资源生成 YAML 文件。 这些 Kubernetes 资源将自动应用到集群中,并由 Helm分配到某个版本。 您还可以使用 Helm 来指定和打包您自己的应用程序,并让 Helm 为 Kubernetes 资源生成 YAML 文件。
-
检查您是否具有在集群上部署 Workload Protection 代理程序的访问权和许可权。
-
验证
ibm-observe
名称空间在集群中是否可用。 代理程序部署在此名称空间中。您可以运行以下命令来创建名称空间:
kubectl create namespace ibm-observe
部署代理程序
完成以下步骤以使用 Helm部署代理程序:
步骤 1. 设置 Sysdig Helm 存储库
向 Helm 实例添加 Workload Protection Helm 存储库。
完成以下步骤:
-
设置集群上下文。
ibmcloud ks cluster config --cluster <CLUSTER_NAME>
-
添加 Helm 存储库。
helm repo add sysdig https://charts.sysdig.com
如果发生了以下错误:
helm repo add sysdig https://charts.sysdig.com --debug Error: context deadline exceeded helm.go:84: [debug] context deadline exceeded
运行以下命令,然后重试添加 Helm 存储库。
rm $HOME/Library/Preferences/helm/repositories.lock
-
更新存储库以检索所有 Helm chart 的最新版本。
helm repo update
-
列出当前可用于 Sysdig 存储库的 Helm 图表。
helm search repo sysdig
-
验证是否列出了 Helm Chart
sysdig/sysdig-deploy
。
步骤 2. 创建值 yaml 文件
定义 yaml 文件并包含用于部署 Workload Protection 代理程序和您计划部署的安全组件的值。 例如,将文件命名为 agent-values-monitor-secure.yaml
。
以下 yaml 是可用于配置 Workload Protection 代理程序和 Secure 组件的模板。 您可以通过使用 #
除去或注释代理程序部署不需要的部分来定制文件。
global:
clusterConfig:
name: CLUSTER_NAME
sysdig:
accessKey: SERVICE_ACCESS_KEY
kspm:
deploy: true
agent:
image:
registry: icr.io
slim:
enabled: true
image:
repository: ext/sysdig/agent-slim
kmoduleImage:
repository: ext/sysdig/agent-kmodule
collectorSettings:
collectorHost: INGESTION_ENDPOINT
nodeAnalyzer:
secure:
vulnerabilityManagement:
newEngineOnly: true
nodeAnalyzer:
runtimeScanner:
settings:
eveEnabled: true
deploy: true
apiEndpoint: API_ENDPOINT
benchmarkRunner:
deploy: false
kspmCollector:
apiEndpoint: API_ENDPOINT
位置
CLUSTER_NAME
是要在其中部署代理程序的集群的名称。SERVICE_ACCESS_KEY
是 Workload Protection 实例访问密钥。INGESTION_ENDPOINT
是实例的采集端点。 例如,ingest.us-east.security-compliance-secure.cloud.ibm.com
API_ENDPOINT
是实例的 API 端点。 例如,us-east.security-compliance-secure.cloud.ibm.com
步骤 3. 安装 Helm Chart
要部署代理程序和/或安全组件,必须安装 sysdig/sysdig-deploy
Chart。 您可以使用变量 yaml 文件 (如上一步中配置的文件) 来安装 Chart,也可以直接配置变量。
运行以下命令以使用 Helm Chart 和变量 yaml 文件来安装代理程序:
helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml
运行以下命令以使用 Helm Chart 并设置变量来安装代理程序:
helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe --create-namespace\
--set global.sysdig.accessKey=<SERVICE_ACCESS_KEY> \
--set agent.collectorSettings.collectorHost=<INGESTION_ENDPOINT> \
--set nodeAnalyzer.nodeAnalyzer.apiEndpoint=<API_ENDPOINT> \
--set nodeAnalyzer.nodeAnalyzer.runtimeScanner.settings.eveEnabled=true \
--set nodeAnalyzer.secure.vulnerabilityManagement.newEngineOnly=true \
--set global.kspm.deploy=true \
--set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
--set global.clusterConfig.name=<CLUSTER_NAME> \
--set kspmCollector.apiEndpoint=<API_ENDPOINT> \
--set agent.image.registry=icr.io \
--set agent.slim.image.repository=ext/sysdig/agent-slim \
--set agent.slim.kmoduleImage.repository=ext/sysdig/agent-kmodule
位置
CLUSTER_NAME
是要在其中部署代理程序的集群的名称。SERVICE_ACCESS_KEY
是 Workload Protection 实例访问密钥。INGESTION_ENDPOINT
是实例的采集端点。API_ENDPOINT
是实例的 API 端点。
例如,对于美东地区,样本 Helm 安装如下所示:
helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe \
--set global.sysdig.accessKey=<ENTER_YOUR_ACCESS_KEY> \
--set agent.collectorSettings.collectorHost=ingest.us-east.security-compliance-secure.cloud.ibm.com \
--set nodeAnalyzer.nodeAnalyzer.apiEndpoint=us-east.security-compliance-secure.cloud.ibm.com \
--set global.kspm.deploy=true \
--set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
--set global.clusterConfig.name=mycluster-au-syd \
--set kspmCollector.apiEndpoint=us-east.security-compliance-secure.cloud.ibm.com \
--set agent.image.registry=icr.io \
--set agent.slim.image.repository=ext/sysdig/agent-slim \
--set agent.slim.kmoduleImage.repository=ext/sysdig/agent-kmodule
如果迂到以下错误: Error: INSTALLATION FAILED: Kubernetes cluster unreachable: xxxxxx failed to refresh token: oauth2: cannot fetch token: 400 Bad Request
,请设置集群上下文并重试。
更新代理程序
要使用 Helm更新代理程序版本,请完成以下步骤:
-
更新图表。
helm repo update
-
查找用于部署代理程序的值 yaml 文件,并使用要部署的代理程序版本修改
agent.image.tag
。 -
升级代理程序。
helm upgrade -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml
除去代理程序
要使用 Helm删除代理程序,必须卸载 Chart。
完成以下步骤:
-
列出已安装的 Chart。
helm list -n ibm-observe
该命令的输出按如下所示列出图表:
NAME NAMESPACE REVISION UPDATED STATUS CHART APP VERSION sysdig-agent ibm-observe 1 2023-03-24 15:02:58.408108 +0100 CET deployed sysdig-deploy-1.6.3
-
卸载 Chart。
helm delete sysdig-agent -n ibm-observe
就 Helm而言,
sysdig-agent
是发行版的名称。如果忘记在命令中包含名称空间,那么会发生以下错误:
Error: uninstall: Release not loaded: sysdig-agent: release: not found
。