tỷ lệ cá cược kèo nhà cái hôm nay của kỹ sư SCSK!
Đây là Kawasugi, phụ trách buổi thứ 12 Đây là phần tiếp theo của công cụ chính sách phổ biến trước đây Lần này tôi sẽ giới thiệu Kyverno
Vậy thì đi thôi!

"Tôi nên làm gì mà Sysdig không thể làm được?"

tỷ lệ cá cược kèo nhà cái hôm nay Kỹ sư thứ 4(https://wwwscskjp/sp/sysdig/tỷ lệ cá cược kèo nhà cái hôm nay/cat/scsksysdightml) Để trả lời câu hỏi trên, tôi đã giải thích rằng điều quan trọng là phải bổ sung các yếu tố còn thiếu bằng các giải pháp bảo mật khác
Để xem xét,Sysdig không cung cấp chức năng thực thi các quy tắc như cấm 〇〇Do đó, cần phải có các biện pháp khác (một số yêu cầu này có thể được đáp ứng bằng cách tạo quy tắc Falco của riêng bạn, nhưng điều này khác với mục đích ban đầu) Nếu những yêu cầu này phát sinh trong môi trường Kubernetes (k8s), chúng tôi khuyên bạn nên triển khai một OSS được gọi là công cụ chính sách
Ví dụ: Bạn muốn cấm triển khai các Pod chưa được gán nhãn cụ thể, bạn muốn giới hạn các hình ảnh vùng chứa có thể được triển khai, vv

Giới thiệu về sự khác biệt trong công cụ chính sách

Lần này tôi sẽ không giải thích công cụ chính sách Nếu bạn muốn biết công cụ chính sách là gì, hãy xem tỷ lệ cá cược kèo nhà cái hôm nay kỹ sư thứ 4 (https://wwwscskjp/sp/sysdig/tỷ lệ cá cược kèo nhà cái hôm nay/cat/scsksysdightml)

• Đại lý/Người gác cổng chính sách mở (sau đây gọi là OPA/Người gác cổng)
  
• Kyverno
  

Mỗi OSS có những điểm khác biệt sau

Kyverno là người đến sau nên tôi có ấn tượng rằng nó được phát triển với sự cân nhắc về tính dễ sử dụng
Ngoài ra, nếu muốn sử dụng công cụ chính sách để quản lý tập trung các môi trường không phải k8, bạn cần áp dụng OPA
Nếu bạn muốn biết thêm về sự khác biệt, nhiều người đã viết tỷ lệ cá cược kèo nhà cái hôm nay về sự khác biệt, vì vậy vui lòng xem qua
Lần trước tôi đã giới thiệu cách triển khai OPA/Gatekeeper, vì vậy lần này chúng ta hãy xem bạn có thể làm gì khi triển khai Kyverno

Chuẩn bị trước

Bây giờ, hãy bắt đầu chuẩn bị xác minh
Các mục sau đây phải được chuẩn bị trước cho việc xác minh này

• Cụm k8s
  • Môi trường k8s nào cũng được
  • Lần này tôi sẽ sử dụng môi trường Openshift Nếu bạn đang sử dụng môi trường khác, vui lòng thay thế lệnh kubectl theo môi trường của bạn và xác minh
• Cài đặt mũ bảo hiểm
  • Kyverno sẽ được cài đặt qua Helm Vui lòng cài đặt Helm

Triển khai lần đầu

Triển khai Kyverno vào môi trường Openshift

Bước 1 Thêm và cập nhật kho lưu trữ Helm

$helm repo thêm kyverno https://kyvernogithubio/kyverno/

Bước 2 Tạo không gian tên và triển khai Kyverno

$kubectl tạo không gian tên kyverno

Bước 3 Xác minh rằng vùng chứa kyverno đã khởi động

$oc nhận nhóm -n kyverno

Quá trình triển khai hiện đã hoàn tất

Hãy xác minh

Đầu tiên chúng ta sẽ giới thiệu những đối tượng cần thiết

• Chính sách cụm
  • Xác định chính sách để đánh giá tài nguyên của k8 Đối tượng này được viết bằng YAML

Không giống như OPA Gatekeeper, chỉ cần triển khai một đối tượng để thực thi quy tắc

Trong bản demo này, chúng tôi sẽ thực thi quy tắc cấm triển khai các nhóm không có nhãn cụ thể

Kết quả là tôi đã tạo được yaml sau

cluster-policyyaml

Hãy triển khai ngay bây giờ
Đầu tiên, hãy bắt đầu triển khai yaml

$oc áp dụng -f cluster-policyyaml

Tôi có thể triển khai mà không gặp bất kỳ sự cố nào khi sử dụng yaml do Chat GPT tạo

Hãy triển khai nhóm phù hợp

Như đã định cấu hình, ứng dụng: nhãn kiểm tra bị thiếu nên không thể triển khai

Thêm vùng chứa giống như ứng dụng: nhãn thử nghiệm

$oc chạy nginx --image=nginx --labels="app=test"

ứng dụng: Sau khi thêm nhãn thử nghiệm, nhóm đã được triển khai như mong đợi

Cuối cùng

Lần này tôi đã giới thiệu Kyverno Bằng cách sử dụng hiệu quả công cụ công cụ chính sách, bạn có thể tạo các quy tắc bảo mật mà trước đây không thể thực hiện được Bằng cách kết hợp công cụ chính sách và Sysdig, bạn có thể tạo môi trường k8s an toàn hơn, vì vậy nếu bạn quan tâm, vui lòng dùng thử Nếu bạn có bất kỳ câu hỏi nào liên quan đến bảo mật, vui lòng sử dụng mẫu yêu cầu trên trang web này

Giới thiệu người phụ trách