Runtime mit Falco
Falco beobachtet, was Container nach dem Start tun. Attestkeep empfängt seine Events über mutual TLS, speichert jedes mit dem Image und dem Pod, die es ausgelöst haben, und prüft es gegen die Runtime-Policies, die Sie in der Konsole schreiben. Falco ist optional: Sie installieren und konfigurieren es selbst; Attestkeep liefert es nicht mit und schreibt nichts in Falco.
Die erste passende Policy entscheidet: einen Eintrag festhalten, eine Benachrichtigung senden, ein Issue in Ihrem Tracker eröffnen oder den Pod stoppen. Ein Stopp ist eine Eviction über den API-Server, PodDisruptionBudgets gelten also, und der Controller des Pods startet einen neuen. Ein Runtime-Event ändert nie eine Admission-Entscheidung.
Die Schritte.
Falco meldet ein Event
Direkt oder über Falcosidekick, mit mutual TLS.
Eine Policy greift
Nach Regel, Tags, Priorität, Namespace und Image.
Eine Aktion folgt
Festhalten, melden, Issue eröffnen oder Pod stoppen.
Ein Stopp entfernt den Pod
Sofort oder nach seiner Shutdown-Zeit; sein Controller startet einen neuen.
Jeder Stopp im Audit-Log
Unter dem Namen der Policy, mit Pod und Falco-Regel.
Policy-Satz und sein Hash, Policy-Änderungen, Event-Zahlen, gesendete Benachrichtigungen, eröffnete und geschlossene Issues sowie gestoppte Pods fließen in den Runtime-Abschnitt des Pakets ein.
1 Anforderung in 1 Framework verweist auf das, was diese Funktion aufzeichnet.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen