Содержание

Платформа безопасности StackRox для Kubernetes

Платформа безопасности StackRox для Kubernetes

Платформа безопасности StackRox для Kubernetes выполняет анализ рисков контейнерной среды, обеспечивает видимость и оповещения в режиме реального времени, а также предоставляет рекомендации по проактивному повышению безопасности за счёт укрепления среды. StackRox интегрируется с каждым этапом жизненного цикла контейнеров: сборка, развёртывание и работа.

Платформа безопасности StackRox для Kubernetes построена на основе продукта, ранее известного как Prevent, который, в свою очередь, назывался Mitigate и Apollo. В коде или документации вы можете встретить упоминания этих прежних названий.

Сообщество

Вы можете связаться с нами через Slack (#stackrox). Для альтернативных способов связи загляните в наш Community Hub stackrox.io.

Обновления о событиях, блоги и другие ресурсы — на сайте сообщества StackRox по адресу stackrox.io.

Кодекс поведения StackRox.

Сообщить об уязвимости или ошибке.

Развёртывание StackRox

Установка с помощью оператора

Начиная с версии 4.10 можно установить StackRox с помощью оператора.

[!WARNING] Следующие методы установки устарели.

Быстрая установка с помощью Helm

StackRox предлагает быструю установку через Helm Charts. Следуйте руководству по установке Helm, чтобы получить CLI helm в вашей системе. Затем запустите скрипт быстрой установки helm или перейдите к разделу Ручная установка с помощью Helm для ознакомления с параметрами конфигурации.

Установка StackRox с помощью скрипта установки Helm

/bin/bash <(curl -fsSL https://raw.githubusercontent.com/stackrox/stackrox/master/scripts/quick-helm-install.sh)

При развёртывании StackRox по умолчанию задаются определённые запросы CPU и памяти, и на небольших кластерах (например, для разработки) установка может завершиться неудачей, если доступных ресурсов недостаточно. Вы можете использовать параметр командной строки --small, чтобы установить StackRox на небольших кластерах с ограниченными ресурсами. Использование этого параметра не рекомендуется для производственных развёртываний.

/bin/bash <(curl -fsSL https://raw.githubusercontent.com/stackrox/stackrox/master/scripts/quick-helm-install.sh) --small

Скрипт добавляет репозиторий Helm StackRox, генерирует пароль администратора, устанавливает stackrox-central-services, создаёт init bundle для развёртывания stackrox-secured-cluster-services и, наконец, устанавливает stackrox-secured-cluster-services в том же кластере.

В завершение скрипт автоматически откроет браузер и выполнит вход в StackRox. Может появиться предупреждение о сертификате, поскольку сертификат является самоподписанным. Подробнее о предупреждениях см. в разделе Accessing the StackRox User Interface (UI). После аутентификации вы можете получить доступ к панели управления по адресу https://localhost:8000/main/dashboard.

Ручная установка с помощью Helm

Следуйте руководству по установке Helm, чтобы установить CLI helm в вашей системе.

Развёртывание с помощью Helm состоит из 4 шагов

Добавьте репозиторий StackRox в Helm
Запустите StackRox Central Services с помощью helm
Создайте конфигурацию кластера и идентификатор сервиса (init bundle)
Разверните StackRox Secured Cluster Services, используя эту конфигурацию и эти учётные данные (этот шаг можно выполнить несколько раз, чтобы добавить больше кластеров в StackRox Central Service)

Установка StackRox Central Services

Сначала StackRox Central Services будут добавлены в ваш кластер Kubernetes. Это включает UI и Scanner. Для начала добавьте репозиторий stackrox/helm-charts/opensource в Helm.

helm repo add stackrox https://raw.githubusercontent.com/stackrox/helm-charts/main/opensource/

Чтобы увидеть все доступные Helm-чарты в репозитории, выполните (можно добавить опцию --devel, чтобы показать также сборки, не являющиеся релизными)

helm search repo stackrox

Для установки stackrox-central-services вам потребуется надёжный пароль. Этот пароль понадобится позже для входа в UI и при создании init bundle.

ROX_ADMIN_PASSWORD="$(openssl rand -base64 20 | tr -d '/=+')"

Отсюда вы можете установить stackrox-central-services, чтобы развернуть компоненты Central и Scanner в вашем кластере.

Примечание: Вам нужен только один развёрнутый экземпляр stackrox-central-services, даже если вы планируете защищать несколько кластеров.

Чтобы выполнить установку, выберите одну из следующих команд в зависимости от размера вашего кластера.

Установка Central по умолчанию

Если вы устанавливаете в кластер разумного размера, используйте команду установки по умолчанию:

helm upgrade --install -n stackrox --create-namespace stackrox-central-services \
  stackrox/stackrox-central-services \
  --set central.adminPassword.value="${ROX_ADMIN_PASSWORD}" \
  --set central.persistence.none="true"

Централизованная установка в кластерах с ограниченными ресурсами

Если вы выполняете установку в одноузловом кластере или установка по умолчанию приводит к тому, что поды зависают в состоянии pending из-за нехватки ресурсов, используйте вместо этого следующую команду, чтобы снизить требования к ресурсам stackrox-central-services. Учтите, что эти сниженные настройки ресурсов не подходят для производственной среды.

stackrox v4.11.4-rc.1