步骤 1. 设置集群上下文

1. 登录到帐户。 如果您有联合帐户，请包括 --sso 选项。

   ibmcloud login [-g <resource_group>] [--sso]
   

2. 将集群的 kubeconfig 配置文件下载并添加到 ~/.kube/config 中的现有 kubeconfig 或 KUBECONFIG 环境变量中的最后一个文件。

   ibmcloud oc cluster config --cluster <cluster_name_or_ID>
   

3. 在浏览器中，导航至 Master URL 的地址并附加 /console。 例如，https://c0.containers.cloud.ibm.com:23652/console。

4. 从 Red Hat OpenShift Web 控制台菜单栏中，单击概要文件 IAM#user.name@email.com > 复制登录命令。 显示 oc login 令牌命令并将其复制到命令行以通过 CLI 进行认证。

5. 通过检查版本，验证 oc 命令是否针对您的集群正常运行。

   oc version
   

   您的输出应该类似于以下示例:

   Client Version: v4.11.0
   Kubernetes Version: v1.25.8.2
   

步骤 2. 设置 Sysdig Helm 存储库

向 Helm 实例添加 Workload Protection Helm 存储库。

完成以下步骤：

1. 设置集群上下文。

   ibmcloud ks cluster config --cluster <CLUSTER_NAME>
   

2. 添加 Helm 存储库。

   helm repo add sysdig https://charts.sysdig.com
   

   如果发生了以下错误：

   helm repo add sysdig https://charts.sysdig.com    --debug
   Error: context deadline exceeded
   helm.go:84: [debug] context deadline exceeded
   

   运行以下命令，然后重试添加 Helm 存储库。

   rm $HOME/Library/Preferences/helm/repositories.lock
   

3. 更新存储库以检索所有 Helm chart 的最新版本。

   helm repo update
   

4. 列出当前可用于 Sysdig 存储库的 Helm 图表。

   helm search repo sysdig
   

5. 验证是否列出了 Helm Chart sysdig/sysdig-deploy。

步骤 3. 创建 Helm 值文件

定义 yaml 文件并包含用于部署您计划部署的 Workload Protection 组件的值。 例如，将文件命名为 agent-values-monitor-secure.yaml。

以下 yaml 是可用于配置 Workload Protection 组件的模板。 您可以通过使用 # 除去或注释代理程序部署不需要的部分来定制该文件。

agent:
  collectorSettings:
    collectorHost: INGESTION_SATELLITE_ENDPOINT
    collectorPort: INGESTION_SATELLITE_ENDPOINT_PORT
  slim:
    enabled: true
global:
  clusterConfig:
    name: CLUSTER_NAME
  kspm:
    deploy: true
  sysdig:
    accessKey: SERVICE_ACCESS_KEY
    apiHost: API_ENDPOINT
nodeAnalyzer:
  secure:
    vulnerabilityManagement:
      newEngineOnly: true
  nodeAnalyzer:
    runtimeScanner:
      deploy: false
    benchmarkRunner:
      deploy: false
    hostScanner:
      deploy: false
    deploy: true
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
kspmCollector:
  natsUrl: wss://API_ENDPOINT
  sslVerifyCertificate: false
clusterScanner:
  enabled: true
  eveEnabled: true
  sslVerifyCertificate: false

其中：

• CLUSTER_NAME 是要在其中部署代理程序的集群的名称。
• SERVICE_ACCESS_KEY 是 Workload Protection 实例访问密钥。
• INGESTION_SATELLITE_ENDPOINT 是先前抽取的指向“采集”端点的 Satellite 端点。 例如，c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud。
• INGESTION_SATELLITE_ENDPOINT_PORT 是 先前抽取的 Satellite 端点 中指向 ingest 端点的端口。 例如，30771。
• API_ENDPOINT 是先前抽取的 Satellite 端点，它指向 Workload Protection 专用 API 端点。 例如，c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924。 在这种情况下，将同时定义主机名和端口。

第 4 步， 安装 Helm Chart

要部署代理程序和/或 Workload Protection 组件，必须安装 sysdig/sysdig-deploy Chart 并使用在上一步中配置的变量 yaml 文件。

运行以下命令以使用 Helm Chart 安装代理程序：

helm install -n ibm-observe sysdig-agent sysdig/sysdig-deploy -f agent-values-monitor-secure.yaml

如果要直接安装 Workload Protection 组件 没有 Helm 值文件，可以使用 --set 运行以下命令设置所有变量。

helm install sysdig-agent sysdig/sysdig-deploy --namespace ibm-observe --create-namespace\
    --set global.sysdig.accessKey=<SERVICE_ACCESS_KEY> \
    --set global.sysdig.apiHost=<API_ENDPOINT> \
    --set agent.collectorSettings.collectorHost=<INGESTION_SATELLITE_ENDPOINT> \
    --set agent.collectorSettings.collectorPort=<INGESTION_SATELLITE_ENDPOINT_PORT> \
    --set nodeAnalyzer.natsUrl=wss://<API_ENDPOINT> \
    --set nodeAnalyzer.nodeAnalyzer.runtimeScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.hostScanner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.benchmarkRunner.deploy=false \
    --set nodeAnalyzer.nodeAnalyzer.sslVerifyCertificate=false \
    --set nodeAnalyzer.secure.vulnerabilityManagement.newEngineOnly=true \
    --set global.kspm.deploy=true \
    --set global.clusterConfig.name=<CLUSTER_NAME> \
    --set kspmCollector.natsUrl=wss://<API_ENDPOINT> \
    --set kspmCollector.sslVerifyCertificate=false \
    --set clusterScanner.enabled=true \
    --set clusterScanner.eveEnabled=true \
    --set clusterScanner.sslVerifyCertificate=true

其中：

• CLUSTER_NAME 是要在其中部署代理程序的集群的名称。
• SERVICE_ACCESS_KEY 是 Workload Protection 实例访问密钥。
• INGESTION_SATELLITE_ENDPOINT 是先前抽取的指向 ingest 端点的 Satellite 端点。 例如，c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud。
• INGESTION_SATELLITE_ENDPOINT_PORT 是先前抽取的 Satellite 端点 中指向 ingest 端点的端口。 例如，30771。
• API_ENDPOINT 是先前抽取的 Satellite 端点，它指向 Workload Protection 专用 API 端点。 例如，c1bcda0323e0ef4b83aba-6b64a6ccc9c596bf59a86625d8fa2202-c111.us-east.satellite.appdomain.cloud:31924。 在这种情况下，将同时定义主机名和端口。