Управлять режимами работы правил контроля безопасности модуля KSPM
Правила контроля безопасности модуля KSPM, относящиеся к типу Admission, имеют два режима работы:
Аудит— режим, при котором нарушение правила не блокирует развертывание нагрузок в кластерах Kubernetes. Режим по умолчанию.Блокировка— режим, при котором нарушение правила ведет к блокировке развертывания нагрузок в кластерах Kubernetes.
Включить режим Блокировка
Чтобы включить для правила режим работы Блокировка:
- Перейдите в сервис Yandex Security Deck.
- На панели слева выберите Правила и исключения.
- В верхней части окна выберите окружение, в котором хотите изменить режим правила.
- На открывшейся странице Правила контроля безопасности перейдите на вкладку Kubernetes®. В появившемся списке найдите правило типа
Admission, режим которого вы хотите изменить. При необходимости воспользуйтесь фильтром в верхней части списка. - В строке с нужным правилом нажмите Режим : Аудит и выберите
Включить режим блокировки. - В открывшемся окне подтвердите включение режима блокировки.
Аналогичным образом изменить режим работы правила вы можете на странице с подробной информацией о правиле в поле Тип правила.
Включить режим Аудит
Чтобы включить для правила режим работы Аудит (если ранее для этого правила был включен режим Блокировка):
- Перейдите в сервис Yandex Security Deck.
- На панели слева выберите Правила и исключения.
- В верхней части окна выберите окружение, в котором хотите изменить режим правила.
- На открывшейся странице Правила контроля безопасности перейдите на вкладку Kubernetes®. В появившемся списке найдите правило типа
Admission, режим которого вы хотите изменить. При необходимости воспользуйтесь фильтром в верхней части списка. - В строке с нужным правилом нажмите Режим : Блокировка и выберите
Отключить режим блокировки. - В открывшемся окне подтвердите отключение режима блокировки.
Аналогичным образом изменить режим работы правила вы можете на странице с подробной информацией о правиле в поле Тип правила.
Управлять режимом блокировки с помощью исключений
При включении для правила режима Блокировка этот режим по умолчанию применяется ко всем кластерам Kubernetes® в окружении.
Чтобы изменить эту логику и явным образом указать, к каким ресурсам Kubernetes® в окружении не будет применяться режим Блокировка, создайте исключение для правила:
-
Перейдите в сервис Yandex Security Deck.
-
На панели слева выберите Правила и исключения.
-
В верхней части окна выберите окружение, в котором хотите задать исключение для правила контроля безопасности.
-
На открывшейся странице Правила контроля безопасности перейдите на вкладку Kubernetes® и в появившемся списке выберите правило типа
Admission, для которого вы хотите создать исключение. При необходимости воспользуйтесь фильтром в верхней части списка. -
В открывшемся окне с информацией о правиле перейдите на вкладку Исключения и нажмите Создать исключение.
-
В блоке Эффект выберите нужный режим блокировки:
Игнорировать правило— проверки на соответствие правилу для заданных в исключении ресурсов полностью отключаются, нарушения не фиксируются.Отключить режим блокировки для правила— нарушения правила для заданных в исключении ресурсов будут фиксироваться, но развертывание нагрузок в кластерах Kubernetes® блокироваться не будет.
-
В блоке Область действия укажите кластеры, для которых требуется отменить блокировку, настройте другие параметры и завершите создание исключения.
Совет
При необходимости воспользуйтесь инструкцией Управлять исключениями из правил контроля безопасности модуля KSPM.
Окружения Security Deck позволяют более гранулярно управлять безопасностью инфраструктуры в Yandex Cloud и представляют собой контейнеры, содержащие настройки и ресурсы модулей Security Deck, перечни контролируемых ресурсов, параметры контроля и другие параметры. Подробнее читайте в разделе Окружения Security Deck.
В исключениях модуля KSPM можно указать объекты, которые будут исключены из проверки по выбранным правилам контроля. Подробнее о работе с исключениями читайте в разделе Управлять исключениями из правил контроля безопасности модуля KSPM.