Runtime con Falco
Falco observa lo que hacen los containers una vez arrancados. Attestkeep recibe sus eventos con TLS mutuo, guarda cada uno junto a la image y el pod que lo generaron y lo compara con las policies de runtime que usted escribe en la consola. Falco es opcional: usted lo instala y lo configura, y Attestkeep no lo distribuye ni escribe nada en él.
Decide la primera policy que coincide: dejar constancia, enviar una notificación, abrir una issue en su tracker o detener el pod. Detener es un desalojo (eviction) a través del API server, así que se aplican los PodDisruptionBudgets, y el controller del pod arranca uno nuevo. Un evento de runtime nunca cambia una decisión de admission.
Paso a paso.
Falco informa de un evento
Directamente o a través de Falcosidekick, con TLS mutuo.
Una policy lo reconoce
Por regla, tags, prioridad, namespace e image.
Se toma una acción
Registrar, avisar, abrir una issue o detener el pod.
Detener desaloja el pod
Al instante o tras su periodo de gracia; su controller arranca uno nuevo.
Cada parada queda auditada
Con el nombre de la policy, el pod y la regla de Falco.
El conjunto de policies y su hash, sus cambios, los recuentos de eventos, las alertas enviadas, las issues abiertas y cerradas y los pods detenidos van a la sección de runtime del paquete.
1 requisito de 1 framework cita lo que registra esta función.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta