Просмотр кода страницы Включение AppArmor для повышения безопасности

== Включение AppArmor для Ключ-АСТРОМ Operator ==
Вы можете повысить безопасность Ключ-АСТРОМ '''Operator''', включив [https://kubernetes.io/docs/tutorials/security/apparmor/ AppArmor]. В зависимости от того, настраиваете ли вы мониторинг с помощью '''Manifest''' или '''Helm''', выберите один из вариантов ниже.
{| class="wikitable"
!'''Manifest'''
!'''Helm'''
|-
|1. Добавьте следующую аннотацию в [https://github.com/Dynatrace/dynatrace-operator/tree/v1.6.0/assets/samples/dynakube DynaKube] для развертывания АктивногоШлюза с включенным профилем '''AppArmor''':
{| class="wikitable"
|apiVersion: astromkey.com/v1beta5

kind: DynaKube

metadata:

  annotations:

    feature.astromkey.com/activegate-apparmor: true
|}
| rowspan="2" |Добавьте следующие свойства в файл <code>values.yaml</code> для развертывания АктивногоШлюза и Ключ-АСТРОМ '''Operator''' с включенным профилем '''AppArmor''':
{| class="wikitable"
|operator:

  apparmor: true

webhook:

  apparmor: true

activeGate:

  apparmor: true
|}
|-
|2. Добавьте следующие аннотации в свой '''YAML''' для развертывания веб-перехватчика и Ключ-АСТРОМ '''Operator''' с включенным профилем '''AppArmor''':
{| class="wikitable"
|kind: Deployment

metadata:

  name: astromkey-webhook

spec:

  template:

    metadata:

      annotations:

        container.apparmor.security.beta.kubernetes.io/webhook: runtime/default

kind: Deployment

metadata:

  name: astromkey-operator

spec:

  template:

    metadata:

      annotations:

        container.apparmor.security.beta.kubernetes.io/astromkey-operator: runtime/default
|}
|}

== Включите пользовательский профиль AppArmor для ЕдиногоАгента ==
Вы можете ограничить доступ ЕдиногоАгента к желаемому набору функций. Ниже описано, как включить настраиваемый профиль '''AppArmor''' и применить его к модулям ЕдиногоАгента.

=== Создайте собственный профиль ЕдиногоАгента AppArmor ===
Подробную информацию о создании пользовательского профиля '''AppArmor''' см. в разделе [[Настройте ЕдиныйАгент Ключ-АСТРОМ как контейнер Docker|Запуск ЕдиногоАгента как контейнера Docker]].

=== Установить профиль на все рабочие узлы ===
ЕдиныйАгент по умолчанию развёртывается как '''daemonset''', что означает, что модули, использующие профиль '''AppArmor''', будут использоваться на каждой ноде. Поэтому необходимо установить профиль ЕдиногоАгента '''AppArmor''' на всех нодах.

В зависимости от среды это можно сделать несколькими способами, например, с помощью [https://github.com/sysdiglabs/kube-apparmor-manager kube-apparmor-manager] или [https://github.com/kubernetes-sigs/security-profiles-operator security-profiles-operator]. Чтобы узнать, как применять эти инструменты в вашем кластере, обратитесь к официальной документации по ним.

=== Применение профиля ко всем подам ЕдиногоАгента ===
Чтобы включить '''AppArmor''' для всех подов ЕдиногоАгента, добавьте аннотацию <code>container.apparmor.security.beta.kubernetes.io/astromkey-oneagent: localhost/oneagent</code> в одно из следующих полей в зависимости от вашего развертывания:

* <code>oneAgent.classicFullStack.annotations</code>
* <code>oneAgent.cloudNativeFullStack.annotations</code>
* <code>oneAgent.hostMonitoring.annotations</code>

Пример развертывания <code>cloudNativeFullStack</code>:
{| class="wikitable"
|apiVersion: astromkey.com/v1beta5

kind: DynaKube

metadata:

  name: dynakube

  namespace: astromkey

spec:

  apiUrl: <nowiki>https://ENVIRONMENTID.live.astromkey.com/api</nowiki>

  oneAgent:

    cloudNativeFullStack:

      annotations:

        container.apparmor.security.beta.kubernetes.io/astromkey-oneagent: localhost/oneagent
|}