Вопросы и ответы про Security Deck

Вопросы про модуль KSPMВопросы про модуль KSPM

1. Что делать, если уже используется собственная инсталляция Kyverno?1. Что делать, если уже используется собственная инсталляция Kyverno?

Одним из компонентов модуля KSPM является Kyverno. Если в кластере уже используется собственная инсталляция Kyverno, выберите один из вариантов:

• При создании или изменении окружения в настройках не включайте правила Kubernetes Pod Security Standards (Restricted) и Kubernetes Pod Security Standards (Baseline) и продолжайте использовать собственный Kyverno.

• Перейдите с собственного Kyverno на KSPM.

  Чтобы выполнить переход:

  1. Создайте резервную копию ваших политик.

  2. Удалите Kyverno.

  3. Активируйте модуль KSPM.

  4. Добавьте политики в KSPM одним из способов или комбинируйте их:

     • Создайте пользовательские правила типа Admission на основе ваших политик и управляйте ими через KSPM. В пользовательских правилах доступны только политики валидации.

       Примечание

       В интерфейсе Security Deck не поддерживается автоматический импорт политик Kyverno. Необходимо вручную переформулировать их логику в пользовательские правила KSPM перед добавлением.

     • Разверните собственные политики через Kubernetes API. Поддерживаются любые типы политик. Подробнее — в документации Kyverno.

2. Какие типы политик доступны в пользовательских правилах KSPM?2. Какие типы политик доступны в пользовательских правилах KSPM?

В пользовательских правилах KSPM доступны только политики валидации. Другие типы, например политики мутации, генерации или проверки образов не поддерживаются.

Подробнее о механизмах валидации и мутации — в официальной документации Kubernetes.

3. Можно ли использовать не все компоненты KSPM одновременно?3. Можно ли использовать не все компоненты KSPM одновременно?

Да. Например, чтобы использовать только Runtime Sensor, включите проверки по набору правил Microsoft Threat Matrix для Kubernetes в настройках окружения.

4. Как работает тарификация в случае с прерываемыми рабочими узлами в Kubernetes?4. Как работает тарификация в случае с прерываемыми рабочими узлами в Kubernetes?

Тарификация рассчитывается суммарно по модели «рабочий узел в месяц» (или «рабочий узел в час»). Один рабочий узел в месяц может представлять собой:

• один рабочий узел, который работает весь месяц;
• два рабочих узла, каждый из которых работает по половине месяца.

Привязки к конкретным рабочим узлам нет. Остановленные рабочие узлы не тарифицируются.

Подробнее о правилах тарификации в разделе Правила тарификации Yandex Security Deck.

5. Можно ли исключить из проверки KSPM определенные ресурсы или кластеры?5. Можно ли исключить из проверки KSPM определенные ресурсы или кластеры?

Да. В KSPM есть механизм исключений, который позволяет исключить из проверки выбранные ресурсы Kubernetes или целые кластеры.

6. Требует ли KSPM больше ресурсов для установки, чем другие модули Security Deck?6. Требует ли KSPM больше ресурсов для установки, чем другие модули Security Deck?

Да. Из всех модулей Security Deck только KSPM требует ресурсы внутри рабочих нагрузок. Остальные модули ограничиваются дополнительными правами для коннектора.

Подробнее в разделе Системные и технические требования.

7. Какая нагрузка на ресурсы кластера и какие агенты устанавливает KSPM?7. Какая нагрузка на ресурсы кластера и какие агенты устанавливает KSPM?

Системные и технические требования к кластерам, рекомендации по ресурсам, а также информация об устанавливаемых агентах и условиях их установки приведены в разделе Системные и технические требования.