IBM Cloud Docs
使用 HELM 图表在 Kubernetes 集群中管理 Workload Protection 代理程序

使用 HELM 图表在 Kubernetes 集群中管理 Workload Protection 代理程序

您可以使用 Helm Chart 在 Kubernetes 集群上安装,升级和删除 Workload Protection 代理程序。

准备工作

  • 安装 IBM Cloud CLI (ibmcloud)、Kubernetes Service 插件 (ibmcloud oc) 和 IBM Cloud Container Registry 插件 (ibmcloud cr)

  • 在本地计算机上安装 V 3 Helm CLI 的最新发行版。

    需要 Helm 3.6 或更高版本。

    Helm 是 Kubernetes 软件包管理器,它使用 Helm Chart 来定义,安装和升级集群中的复杂 Kubernetes 应用程序。 Helm chart 用于对规范打包,这些规范可为构建应用程序的 Kubernetes 资源生成 YAML 文件。 这些 Kubernetes 资源将自动应用到集群中,并由 Helm分配到某个版本。 您还可以使用 Helm 来指定和打包您自己的应用程序,并让 Helm 为 Kubernetes 资源生成 YAML 文件。

  • 检查您是否具有在集群上部署 Workload Protection 代理程序的访问权和许可权。

  • 验证 ibm-observe 名称空间在集群中是否可用。 代理程序部署在此名称空间中。

    您可以运行以下命令来创建名称空间: kubectl create namespace ibm-observe

部署代理程序

完成以下步骤以使用 Helm部署代理程序:

步骤 1. 设置 Sysdig Helm 存储库

向 Helm 实例添加 Workload Protection Helm 存储库。

完成以下步骤:

  1. 设置集群上下文。

    ibmcloud ks cluster config --cluster <CLUSTER_NAME>
    
  2. 添加 Helm 存储库。

    helm repo add sysdig https://charts.sysdig.com
    

    如果发生了以下错误:

    helm repo add sysdig https://charts.sysdig.com    --debug
    Error: context deadline exceeded
    helm.go:84: [debug] context deadline exceeded
    

    运行以下命令,然后重试添加 Helm 存储库。

    rm $HOME/Library/Preferences/helm/repositories.lock
    
  3. 更新存储库以检索所有 Helm chart 的最新版本。

    helm repo update
    
  4. 列出当前可用于 Sysdig 存储库的 Helm 图表。

    helm search repo sysdig
    
  5. 验证是否列出了 Helm Chart sysdig/sysdig-deploy

步骤 2. 创建值 yaml 文件

定义 yaml 文件并包含用于部署 Workload Protection 代理程序和您计划部署的安全组件的值。 例如,将文件命名为 agent-values-monitor-secure.yaml

以下 yaml 是可用于配置 Workload Protection 代理程序和 Secure 组件的模板。 您可以通过使用 # 除去或注释代理程序部署不需要的部分来定制文件。

global:
  clusterConfig:
    name: CLUSTER_NAME
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
  kspm:
    deploy: true
agent:
  image:
    registry: icr.io
  slim:
    enabled: true
    image:
      repository: ext/sysdig/agent-slim
    kmoduleImage:
      repository: ext/sysdig/agent-kmodule
  collectorSettings:
    collectorHost: INGESTION_ENDPOINT
nodeAnalyzer:
  secure:
    vulnerabilityManagement:
      newEngineOnly: true
  nodeAnalyzer:
    runtimeScanner:
      settings:
        eveEnabled: true
    deploy: true
    apiEndpoint: API_ENDPOINT
    benchmarkRunner:
      deploy: false
kspmCollector:
  apiEndpoint: API_ENDPOINT

位置

  • CLUSTER_NAME 是要在其中部署代理程序的集群的名称。
  • SERVICE_ACCESS_KEY 是 Workload Protection 实例访问密钥。
  • INGESTION_ENDPOINT 是实例的采集端点。 例如, ingest.us-east.security-compliance-secure.cloud.ibm.com
  • API_ENDPOINT 是实例的 API 端点。 例如, us-east.security-compliance-secure.cloud.ibm.com

步骤 3. 安装 Helm Chart

要部署代理程序和/或安全组件,必须安装 sysdig/sysdig-deploy Chart。 您可以使用变量 yaml 文件 (如上一步中配置的文件) 来安装 Chart,也可以直接配置变量。

运行以下命令以使用 Helm Chart 和变量 yaml 文件来安装代理程序:

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

运行以下命令以使用 Helm Chart 并设置变量来安装代理程序:

helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe --create-namespace\
    --set global.sysdig.accessKey=<SERVICE_ACCESS_KEY> \
    --set agent.collectorSettings.collectorHost=<INGESTION_ENDPOINT> \
    --set nodeAnalyzer.nodeAnalyzer.apiEndpoint=<API_ENDPOINT> \
    --set nodeAnalyzer.nodeAnalyzer.runtimeScanner.settings.eveEnabled=true \
    --set nodeAnalyzer.secure.vulnerabilityManagement.newEngineOnly=true \
    --set global.kspm.deploy=true \
    --set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
    --set global.clusterConfig.name=<CLUSTER_NAME> \
    --set kspmCollector.apiEndpoint=<API_ENDPOINT> \
    --set agent.image.registry=icr.io \
    --set agent.slim.image.repository=ext/sysdig/agent-slim \
    --set agent.slim.kmoduleImage.repository=ext/sysdig/agent-kmodule

位置

  • CLUSTER_NAME 是要在其中部署代理程序的集群的名称。
  • SERVICE_ACCESS_KEY 是 Workload Protection 实例访问密钥。
  • INGESTION_ENDPOINT 是实例的采集端点。
  • API_ENDPOINT 是实例的 API 端点。

例如,对于美东地区,样本 Helm 安装如下所示:

helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe \
    --set global.sysdig.accessKey=<ENTER_YOUR_ACCESS_KEY> \
    --set agent.collectorSettings.collectorHost=ingest.us-east.security-compliance-secure.cloud.ibm.com \
    --set nodeAnalyzer.nodeAnalyzer.apiEndpoint=us-east.security-compliance-secure.cloud.ibm.com  \
    --set global.kspm.deploy=true \
    --set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
    --set global.clusterConfig.name=mycluster-au-syd \
    --set kspmCollector.apiEndpoint=us-east.security-compliance-secure.cloud.ibm.com \
    --set agent.image.registry=icr.io \
    --set agent.slim.image.repository=ext/sysdig/agent-slim \
    --set agent.slim.kmoduleImage.repository=ext/sysdig/agent-kmodule

如果迂到以下错误: Error: INSTALLATION FAILED: Kubernetes cluster unreachable: xxxxxx failed to refresh token: oauth2: cannot fetch token: 400 Bad Request,请设置集群上下文并重试。

更新代理程序

要使用 Helm更新代理程序版本,请完成以下步骤:

  1. 更新图表。

    helm repo update
    
  2. 查找用于部署代理程序的值 yaml 文件,并使用要部署的代理程序版本修改 agent.image.tag

  3. 升级代理程序。

    helm upgrade -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml
    

除去代理程序

要使用 Helm删除代理程序,必须卸载 Chart。

完成以下步骤:

  1. 列出已安装的 Chart。

    helm list -n ibm-observe
    

    该命令的输出按如下所示列出图表:

    NAME        	NAMESPACE  	REVISION	UPDATED                             	STATUS  	CHART              	APP VERSION
    sysdig-agent	ibm-observe	1       	2023-03-24 15:02:58.408108 +0100 CET	deployed	sysdig-deploy-1.6.3
    
  2. 卸载 Chart。

    helm delete sysdig-agent  -n ibm-observe
    

    就 Helm而言,sysdig-agent 是发行版的名称。

    如果忘记在命令中包含名称空间,那么会发生以下错误: Error: uninstall: Release not loaded: sysdig-agent: release: not found