https://doc.ruscomtech.ru/index.php?action=history&feed=atom&title=%D0%94%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B8%D1%82%D0%B5%D0%BB%D1%8C%D0%BD%D1%8B%D0%B5_%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D1%83%D1%80%D0%B0%D1%86%D0%B8%D0%B8_OpenShiftДополнительные конфигурации OpenShift - История изменений2026-09-16T15:24:35ZИстория изменений этой страницы в викиMediaWiki 1.43.9https://doc.ruscomtech.ru/index.php?title=%D0%94%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B8%D1%82%D0%B5%D0%BB%D1%8C%D0%BD%D1%8B%D0%B5_%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D1%83%D1%80%D0%B0%D1%86%D0%B8%D0%B8_OpenShift&diff=5984&oldid=prevIKuznetsov: Новая страница: «Интеграция Ключ-АСТРОМ '''Operator''' в среды '''OpenShift''' требует понимания специфики обеих платф...»2025-12-01T20:42:57Z<p>Новая страница: «Интеграция Ключ-АСТРОМ '''Operator''' в среды '''OpenShift''' требует понимания специфики обеих платф...»</p>
<p><b>Новая страница</b></p><div>Интеграция Ключ-АСТРОМ '''Operator''' в среды '''OpenShift''' требует понимания специфики обеих платформ. В этом руководстве описаны необходимые конфигурации с акцентом на [https://docs.redhat.com/en/documentation/openshift_container_platform/4.14/html/authentication_and_authorization/managing-pod-security-policies ограничения контекста безопасности (SCC)] и использование драйвера Ключ-АСТРОМ '''Operator''' '''CSI''' в различных сценариях.<br />
<br />
== Ограничения контекста безопасности (SCC) ==<br />
В '''OpenShift''' '''SCC''' обеспечивают управление разрешениями для подов аналогично встроенной системе управления доступом на основе ролей ('''RBAC''') в '''Kubernetes'''. '''SCC''' определяют действия, которые может выполнять под, и уровни доступа к ресурсам.<br />
<br />
Чтобы получить обзор всех стандартных и пользовательских '''SCC''' в кластере '''OpenShift''', выполните следующую команду:<br />
{| class="wikitable"<br />
|oc get scc<br />
|}<br />
'''OpenShift''' предоставляет [https://docs.redhat.com/en/documentation/openshift_container_platform/4.18/html/authentication_and_authorization/managing-pod-security-policies#default-sccs_configuring-internal-oauth стандартные SCC] для более стандартизированного подхода, а также поддерживает пользовательские '''SCC''' для удовлетворения более специфических требований.<br />
<br />
=== Ключ-АСТРОМ Operator ===<br />
В этом разделе представлен обзор '''SCC''', используемых Ключ-АСТРОМ '''Operator''', в зависимости от версии '''OpenShift''', и он служит справочным материалом. Также подробно рассматривается связь между '''SCC''' и более ранними версиями Ключ-АСТРОМ '''Operator'''.<br />
{| class="wikitable"<br />
!Компонент<br />
!OpenShift версии 4.20 или более ранней<br />
!OpenShift версии 4.11+<br />
|-<br />
|Operator<br />
|<code>privileged</code><br />
|<code>nonroot-v2</code><br />
|-<br />
|Webhook<br />
|<code>privileged</code><br />
|<code>nonroot-v2</code><br />
|-<br />
|CSI driver<br />
|<code>privileged</code><br />
|<code>privileged</code><br />
|-<br />
|ЕдиныйАгент<br />
|<code>privileged</code><br />
|<code>privileged</code><br />
|-<br />
|АктивныйШлюз<br />
|<code>privileged</code><br />
|<code>nonroot-v2</code><br />
|}<br />
<u>Ключ-АСТРОМ Operator версии 0.11.0 или более ранней</u><br />
<br />
Развертывания Ключ-АСТРОМ '''Operator''' включают и используют пользовательские '''SCC''', при этом '''SCC''' по умолчанию не используются.<br />
{| class="wikitable"<br />
!Компонент<br />
!SCC<br />
|-<br />
|Operator<br />
|<code>astromkey-operator</code><br />
|-<br />
|Webhook<br />
|<code>astromkey-webhook</code><br />
|-<br />
|CSI driver<br />
|<code>privileged</code><br />
|-<br />
|ЕдиныйАгент<br />
|<code>astromkey-dynakube-oneagent-privileged</code>,<code>astromkey-dynakube-oneagent-unprivileged</code><br />
|-<br />
|АктивныйШлюз<br />
|<code>nonroot-v2</code><br />
|}<br />
<br />
=== Внедрение модуля кода для мониторинга приложений ===<br />
<code>cloudNativeFullStack</code> <code>applicationMonitoring</code><br />
<br />
Для эффективного мониторинга приложений Ключ-АСТРОМ '''Operator''' добавляет тома '''CSI''' к модулям приложений. Эти тома, предоставляемые драйвером '''CSI''', содержат необходимые модули кода для внедрения ЕдиногоАгента. Учитывая, что '''SCC''' регулируют уровни доступа к ресурсам, их роль критически важна для обеспечения этой интеграции.<br />
<br />
Ниже приведены сценарии, подробно описывающие использование '''SCC''', а также случаи, когда может потребоваться настройка.<br />
<br />
* '''Приложение использует пользовательский SCC''' Используемый '''SCC''' должен включать объем <code>csi</code>, как описано в разделе Настройка пользовательского SCC для мониторинга приложений (ниже).<br />
* '''OpenShift версии 4.12 или более ранней''' Для приложений требуются специальные '''SCC''', которые должны включать объем <code>csi</code>, как описано в разделе Настройка специальных SCC для мониторинга приложений (ниже).<br />
* '''OpenShift версии 4.13+''' Стандартные '''SCC''' допускают объем <code>csi</code> по умолчанию, устраняя необходимость в специальном '''SCC'''.<br />
<br />
{| class="wikitable"<br />
|Инструкции по изменению '''SCC''' применимы только к пользовательским '''SCC'''. Стандартные '''SCC''', такие как <code>restricted</code> или <code>restricted-v2</code>, ни в коем случае не следует изменять.<br />
|}<br />
<br />
==== Настройте собственный SCC для мониторинга приложений ====<br />
В следующем фрагменте кода объясняется, как добавить том <code>csi</code> в пользовательский '''SCC''':<br />
{| class="wikitable"<br />
|apiVersion: security.openshift.io/v1<br />
<br />
kind: SecurityContextConstraints<br />
<br />
metadata:<br />
<br />
name: <custom><br />
<br />
...<br />
<br />
volumes:<br />
<br />
...<br />
<br />
- csi<br />
|}<br />
Более подробную информацию о параметрах конфигурации '''SCC''' см. в документации [https://docs.redhat.com/en/documentation/openshift_container_platform/4.6/html/authentication_and_authorization/managing-pod-security-policies#security-context-constraints-example_configuring-internal-oauth по ограничениям контекста безопасности].<br />
<br />
== CSI Inline Ephemeral Volume Security ==<br />
<code>OpenShift версии 4.13+</code><br />
<br />
Драйверу '''CSI''' требуется особая маркировка для проверки плагином [https://docs.redhat.com/en/documentation/openshift_container_platform/4.13/html/storage/using-container-storage-interface-csi#ephemeral-storage-csi-overview-admin-plugin_ephemeral-storage-csi-inline CSI Volume Admission].<br />
<br />
[https://github.com/Dynatrace/dynatrace-operator/blob/release-0.11/config/helm/chart/default/templates/Common/csi/csidriver.yaml#L22 Необходимая метка автоматически добавляется к ресурсу <code>csidriver</code>]. Она необходима для включения CSI-томов, внедряемых Ключ-АСТРОМ '''Operator''' с использованием режимов внедрения на основе '''Webhook'''.<br />
<br />
<u>Ключ-АСТРОМ Operator версии 0.11.0 или более ранней</u><br />
<br />
Вручную пометьте драйвер '''CSI''' для <code>applicationMonitoring</code>, <code>hostMonitoring</code>, или <code>cloudNativefullStack</code>.<br />
{| class="wikitable"<br />
|kubectl label csidriver csi.oneagent.astromkey.com security.openshift.io/csi-ephemeral-volume-profile=restricted<br />
|}</div>IKuznetsov