Policy Manager

Policy Manager проверяет ресурсы Kubernetes на соответствие политикам и сканирует образы пользовательских приложений на известные уязвимости. Проверки политик выполняет Kyverno, а образы сканирует Trivy Operator. Результаты доступны в консоли управления и в ресурсах Kubernetes.

Политики безопасностиПолитики безопасности

В Policy Manager доступны два пресета политик:

• baseline — базовый стандарт Pod Security Standards;
• restricted — защищенный стандарт Pod Security Standards.

Пресет baseline применяется по умолчанию. Он подойдет для приложений, сбой или недоступность которых не приводит к серьезным последствиям. Пресет restricted предназначен для критичных приложений и пользователей с низким уровнем доверия.

Пресет по умолчанию задается в ресурсе PolicyManagerConfig. Дополнительный пресет можно активировать ресурсом ClusterPolicySet по инструкции Активировать пресет политик.
Оба пресета работают в audit-режиме и формируют отчеты о нарушениях.

Сканирование образовСканирование образов

Сканирование включено по умолчанию. Для каждого образа актуальной версии пользовательской нагрузки Trivy Operator создает ресурс VulnerabilityReport.
Если в нем есть находки, адаптер создает отдельный стандартный PolicyReport, доступный существующим потребителям отчетов Policy Manager. Когда список находок становится пустым, адаптер удаляет только связанный PolicyReport. Все уровни серьезности сохраняются в VulnerabilityReport.

Для приватного пользовательского образа оператор читает ServiceAccount исходной нагрузки, находит указанные в нем imagePullSecrets и передает эти учетные данные заданию сканирования. Сам scan job работает от ServiceAccount оператора в пространстве имен Policy Manager. Если найденных данных недостаточно для загрузки образа, отчет не будет создан.

Базы для пакетов ОС и Java-библиотек поставляются в отдельных образах. Основная база устанавливается initContainer сервера Trivy, Java DB — отдельным initContainer в общий кеш каждого scan job. Образ сканера не содержит архивов баз. В поставку входят offline-базы, поэтому для их получения стандартной конфигурации не нужен доступ в интернет. Чтобы обновлять базы независимо от релизов Stackland, укажите доступные зеркала: database.registry вместе с database.repository для основной базы и database.javaRegistry вместе с database.javaRepository для Java DB. Оба зеркала должны разрешать анонимное чтение образов: учетные данные реестра пользовательской нагрузки для загрузки баз не используются. Основную базу скачивает один Trivy Server. Внешняя Java DB загружается отдельно в каждый scan job (около 1 ГБ на одно сканирование), поэтому при ее использовании учитывайте пропускную способность реестра и scanJobTimeout. Встроенная Java DB сетевой загрузки не требует. Каждый scanner container в scan job запрашивает 3Gi и ограничен 6Gi временного хранилища для Java DB и распакованных слоев образа; суммарные значения для job умножаются на число контейнеров исходной нагрузки.

Подробнее о просмотре результатов см. в инструкции Посмотреть отчеты об уязвимостях.

КонфигурацияКонфигурация

Пример:

apiVersion: stackland.yandex.cloud/v1alpha1
kind: PolicyManagerConfig
metadata:
  name: main # Поле обязательно и должно иметь значение main
spec:
  enabled: true
  settings:
    defaultPolicySet:
      engines:
        kyverno: # имя инструмента
          presets:
            - baseline      # основан на Pod Security Standards Baseline (default)
            # - restricted  # основан на Pod Security Standards Restricted (optional)
    trivy:
      enabled: true # сканирование образов включено по умолчанию
      settings:
        scanner:
          reportTTL: 24h
          scanJobTimeout: 5m
          concurrentScanJobs: 5
          excludeNamespaces:
            - tenant-sandbox
        # Не указывайте database, чтобы использовать базу из поставки.
        # Для независимых обновлений задайте registry и repository вместе:
        # database:
        #   registry: registry.example.com
        #   repository: security/trivy-db
        # Для обновления Java DB вне релиза задайте оба Java-параметра:
        #   javaRegistry: registry.example.com
        #   javaRepository: security/trivy-java-db

Где:

• enabled — включает Policy Manager. При значении false удаляются Kyverno, Policy Reporter, контроллер политик и сканер;
• settings.defaultPolicySet.engines.kyverno.presets — задает пресеты Kyverno;
• settings.trivy.enabled — включает сканер и адаптер отчетов отдельно от остальных частей Policy Manager;
• settings.trivy.settings.scanner.reportTTL — задает срок хранения отчета и эффективный интервал повторного сканирования; минимальное значение — 1s;
• settings.trivy.settings.scanner.concurrentScanJobs — ограничивает количество одновременно выполняющихся заданий сканирования;
• settings.trivy.settings.scanner.scanJobTimeout — ограничивает длительность одного задания; минимальное значение — 1s.