Analisi statica per Kubernetes

Cos'è KubeLinter?

KubeLinter analizza i file YAML Kubernetes, i chart Helm e i manifest Kustomize, e li verifica rispetto a una varietà di best practice, con particolare attenzione alla prontezza per la produzione e alla sicurezza.

KubeLinter esegue controlli predefiniti ragionevoli, progettati per fornirti informazioni utili sui tuoi file YAML Kubernetes, sui chart Helm e sui manifest Kustomize. Questo aiuta i team a individuare in modo precoce e frequente configurazioni di sicurezza errate e best practice DevOps. Alcuni esempi comuni includono l'esecuzione dei container come utente non root, l'applicazione del principio del minimo privilegio e la memorizzazione di informazioni sensibili solo nei secret.

KubeLinter è configurabile, quindi puoi abilitare e disabilitare i controlli, oltre a creare controlli personalizzati, a seconda delle policy che desideri seguire all'interno della tua organizzazione.

Quando un controllo di lint fallisce, KubeLinter segnala raccomandazioni su come risolvere eventuali problemi e restituisce un codice di uscita diverso da zero.

Documentazione

Visita https://docs.kubelinter.io per una documentazione dettagliata su installazione, utilizzo e configurazione di KubeLinter.

Installazione di KubeLinter

I binari di Kube-linter possono essere trovati qui: https://github.com/stackrox/kube-linter/releases/latest

Uso di Go

Per installare usando Go, esegui il seguente comando:

go install golang.stackrox.io/kube-linter/cmd/kube-linter@latest

In alternativa, scarica l'ultimo binario dalla pagina Releases e aggiungilo al tuo PATH.

Uso di Homebrew per macOS o LinuxBrew per Linux

Per installare usando Homebrew o LinuxBrew, esegui il seguente comando:

brew install kube-linter

Uso di nix-shell

nix-shell -p kube-linter

Uso di Docker

docker pull stackrox/kube-linter:latest

Sviluppo

Prerequisiti

Assicurati di aver installato Go prima di compilare dal sorgente.

Compilazione di KubeLinter

Installare KubeLinter dal sorgente è semplice come seguire questi passaggi:

Per prima cosa, clona il repository di KubeLinter.
```
git clone [email protected]:stackrox/kube-linter.git
```
Quindi, compila il codice sorgente. Questo creerà i file binari di kube-linter per ciascuna piattaforma e li inserirà nella cartella .gobin.
```
make build
```
Infine, sei pronto per iniziare a usare KubeLinter. Verifica la tua versione per assicurarti di aver installato correttamente KubeLinter.
```
.gobin/kube-linter version
```

Test di KubeLinter

Ci sono diversi livelli di test. Ogni livello deve essere superato.

test unitari go:
```
make test
```
test di integrazione end-to-end:
```
make e2e-test
```
e infine, test di integrazione end-to-end usando bats-core:
```
make e2e-bats
```

Verifica delle immagini di KubeLinter

Le immagini di KubeLinter sono firmate da cosign. Ti consigliamo di verificare l'immagine prima di usarla.

Una volta installato cosign, puoi usare la chiave pubblica di KubeLinter per verificare l'immagine di KubeLinter con:

cat kubelinter-cosign.pub
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEl0HCkCRzYv0qH5QiazoXeXe2qwFX
DmAszeH26g1s3OSsG/focPWkN88wEKQ5eiE95v+Z2snUQPl/mjPdvqpyjA==
-----END PUBLIC KEY-----


cosign verify --key kubelinter-cosign $IMAGE_NAME

KubeLinter fornisce anche firme keyless di cosign.

Puoi verificare l'immagine di KubeLinter con:

# NOTE: Keyless signatures are NOT PRODUCTION ready.

COSIGN_EXPERIMENTAL=1 cosign verify $IMAGE_NAME

Uso di KubeLinter

Linting locale di YAML

Eseguire KubeLinter per fare il lint dei tuoi file YAML richiede solo due passaggi nella sua forma più elementare.

Individua il file YAML che desideri testare per le best practice di sicurezza e prontezza per la produzione:

Esegui il seguente comando:

kube-linter lint /path/to/your/yaml.yaml

Esempio

Considera il seguente file di specifica pod di esempio pod.yaml. Questo file ha due problemi di prontezza per la produzione e un problema di sicurezza:

Problema di sicurezza:

Il container in questo pod non è in esecuzione con un file system di sola lettura, il che potrebbe consentirgli di scrivere nel file system root.

Prontezza per la produzione:

I limiti di memoria del container non sono impostati, il che potrebbe consentirgli di consumare memoria eccessiva.

apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 1000
    runAsGroup: 3000
    fsGroup: 2000
  volumes:
  - name: sec-ctx-vol
    emptyDir: {}
  containers:
  - name: sec-ctx-demo
    image: busybox
    resources:
      requests:
        memory: "64Mi"
        cpu: "250m"
    command: [ "sh", "-c", "sleep 1h" ]
    volumeMounts:
    - name: sec-ctx-vol
      mountPath: /data/demo
    securityContext:
      allowPrivilegeEscalation: false

Copia il file YAML qui sopra in pod.yaml e fai il lint di questo file eseguendo il seguente comando:
```
kube-linter lint pod.yaml
```

KubeLinter esegue i suoi controlli predefiniti e riporta raccomandazioni. Di seguito è riportato l'output del nostro comando precedente.

pod.yaml: (object: <no namespace>/security-context-demo /v1, Kind=Pod) The container "sec-ctx-demo" is using an invalid container image, "busybox". Please use images that are not blocked by the `BlockList` criteria : [".*:(latest)$" "^[^:]*$" "(.*/[^:]+)$"] (check: latest-tag, remediation: Use a container image with a specific tag other than latest.)

pod.yaml: (object: <no namespace>/security-context-demo /v1, Kind=Pod) container "sec-ctx-demo" does not have a read-only root file system (check: no-read-only-root-fs, remediation: Set readOnlyRootFilesystem to true in the container securityContext.)

pod.yaml: (object: <no namespace>/security-context-demo /v1, Kind=Pod) container "sec-ctx-demo" has memory limit 0 (check: unset-memory-requirements, remediation: Set memory limits for your container based on its requirements. Refer to https://kubernetes.io/docs/concepts/configuration/manage-resources-containers/#requests-and-limits for details.)

Error: found 3 lint errors

Formati di output multipli

KubeLinter supporta la generazione di più formati di output in una singola esecuzione. Questo è utile per generare simultaneamente report leggibili sia da esseri umani che da macchine:

kube-linter lint \
  --format sarif --output kube-linter.sarif \
  --format json --output kube-linter.json \
  --config .kube-linter.yaml \
  pod.yaml

Questo comando:

Genera un report in formato SARIF in kube-linter.sarif
Genera un report in formato JSON in kube-linter.json
Elabora i file una sola volta, migliorando l'efficienza

Nota: I formati multipli richiedono flag --output espliciti. Per l'output di un singolo formato su stdout, usa un solo flag --format senza --output.

Per maggiori dettagli sull'uso di più formati di output, consulta la documentazione.

Per saperne di più sull'uso e la configurazione di KubeLinter, visita la pagina di documentazione.

Menzioni/Tutorial

I seguenti sono tutorial su KubeLinter scritti dagli utenti. Se ne hai uno che vorresti aggiungere a questa lista, invia una PR!

Garantire le best practice YAML con KubeLinter su civo.com di Saiyam Pathak.
Analizzare i file Kubernetes per individuare errori con KubeLinter su opensource.com di Jessica Cherry.
Come aggiungere un nuovo controllo in KubeLinter? di Priyanka Saggu.
Estendere kube-linter per creare un modello personalizzato di Gareth Healy.

LICENZA

KubeLinter è concesso in licenza sotto la Apache License 2.0.

Community

Se desideri interagire con la community di KubeLinter, inclusi manutentori e altri utenti, puoi unirti allo spazio di lavoro Slack qui.

Potrebbero esserci modifiche sostanziali in futuro all'uso dei comandi, ai flag e ai formati dei file di configurazione. Tuttavia, ti invitiamo a usare KubeLinter per testare i tuoi file YAML, vedere cosa si rompe e contribuire.

Come promemoria, ogni partecipazione alla community di KubeLinter è regolata dal nostro codice di condotta.

KubeLinter è stato creato con ❤️ da StackRox ed è ora alimentato da Red Hat.

kube-linter

Più Popolari