Bestimmen Sie, welche Images im Cluster laufen – mit signiertem Beleg jeder Entscheidung.
Attestkeep läuft in dem Cluster, den es schützt, und nichts über Ihre Images verlässt ihn.
Drei Ausgangslagen.
Noch keine Admission ControlNichts prüft ein Image, bevor es läuft.
Ein Helm-Release installiert Operator, Konsole und Datenbank in einen Namespace, der Ihnen gehört. Trivy scannt die Images, cosign prüft ihre Signaturen, und die Admission weist ab, was Ihre Policy nicht erlaubt. Die Community Edition ist kostenlos und läuft nicht ab.
Admission ControlEin Audit steht anDer Auditor will Belege, keine Screenshots.
Sie wählen ein Framework und einen Zeitraum. Attestkeep ordnet die clustereigenen Admission- und Scan-Einträge den Anforderungen dieses Frameworks zu und signiert den Bericht im Cluster. Ihr Auditor prüft die Signatur mit eigenen Werkzeugen, ohne bei uns nachzufragen.
NachweispaketeIm großen MaßstabRegeln, die halten, wenn viele Teams deployen.
Die Policy ist eine Kubernetes-Ressource, die Ihr Argo CD oder Flux verwalten kann. Akzeptierte Risiken tragen eine Begründung und ein Ablaufdatum, Break-Glass wird aufgezeichnet, und ein neuer kritischer Befund öffnet ein Ticket in GitHub, GitLab oder Jira. Die Anmeldung läuft über Ihren bestehenden Identity Provider.
Das ProduktEine Kette, in Ihrem Cluster.
- ScannenTrivy, im Cluster
- Signatur prüfencosign, Key oder keyless
- Admission-EntscheidungIhre Policy, auf dem gecachten Ergebnis
- Festhaltenjedes Allow und Deny, im Ledger
- Bericht signierenmit dem Installationsschlüssel
- Überall prüfendurch Ihren Auditor, ohne uns
Fünf Teile, ein Helm-Release.
Admission Control
Scannen, Signatur prüfen, am Eingang entscheiden. Die Admission liest ein gecachtes Urteil und wartet daher nie auf einen Scan.
Admission ControlNachweispakete
Ein Zeitraumbericht, einem Framework zugeordnet, von Ihrem Cluster signiert, für jeden prüfbar.
NachweispaketeRuntime mit Falco
Falco sieht, Attestkeep urteilt. Ihre Policies machen aus Falco-Events Einträge, Benachrichtigungen, Issues oder einen gestoppten Pod.
Runtime mit FalcoSupply Chain
Signaturen, SBOMs, Build-Provenance und Herstellererklärungen, geprüft, bevor ein Image startet.
Supply ChainBetrieb
Benachrichtigungen, Issue-Tracker-Sync und air-gapped Cluster: wie sich Attestkeep in Ihre vorhandenen Werkzeuge und Netze einfügt.
Betrieb13 Frameworks. 293 Anforderungen, alle zitiert.
Nichts hier verlangt, dass Sie uns beim Wort nehmen.
Drei gute Tools und die Nahtstelle dazwischen.
Jedes dieser Werkzeuge löst einen Teil der Aufgabe gut und ist kostenlos. Keines vereint Scanner, Signaturprüfung und den Eintrag der Entscheidung an einem Ort, und genau danach fragt der Auditor.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen