Admission-Entscheidungen
Attestkeep registriert einen Validating Admission Webhook. Fragt der API-Server zu einem Pod an, liest der Webhook das Urteil zum Image aus einem Cache mit dem Digest als Schlüssel und wendet Ihre Policy an. So wartet er nie auf einen Scan, und eine langsame Registry verzögert kein Deployment.
Ein Digest, den er noch nie gesehen hat, gilt als „Unknown“, niemals als „Compliant“. Die Failure Policy steht standardmäßig auf Ignore: Fällt der Operator aus, laufen Deployments weiter. Jede Installation, auch Community, kann Fail setzen und ablehnen, bis ein Scan vorliegt.
Die Schritte.
Der API-Server fragt
Er schickt das Admission Review des Pods an den Webhook.
Aus dem Tag wird ein Digest
Einmal aufgelöst und eine Minute lang gecacht: Eine Welle identischer Deployments löst nur einen Registry-Aufruf aus.
Das Urteil wird gelesen
Nach Digest, aus dem Cache, den der Scanner aktuell hält.
Policy entscheidet
Erlauben oder ablehnen, mit Grund.
Entscheidung wird erfasst
Freigaben wie Ablehnungen: Ein Nachweis, der nur Ablehnungen zeigt, belegt nicht, dass eine Kontrolle gewirkt hat.
Jede Entscheidung landet im Admission-Ledger, mit Name und Hash der Policy, die sie getroffen hat.
- DORA8 Anforderungen
- NIST SP 800-1905 Anforderungen
- NIST SSDF3 Anforderungen
- NIST SP 800-536 Anforderungen
- ISO/IEC 270014 Anforderungen
- DSGVO Art. 323 Anforderungen
- PCI DSS3 Anforderungen
- MAS TRM7 Anforderungen
- Essential Eight21 Anforderungen
- ISMAP9 Anforderungen
- ISMS-P6 Anforderungen
75 Anforderungen in 11 Frameworks verweisen auf das, was diese Funktion aufzeichnet.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen