Attestkeep
Langue : Français
S'inscrire
Admission control

Chaque pod, admis ou refusé à l'entrée, avec sa raison.

Créer un compteAdmission
admission review venant de l'API serverCache de verdictspar digest d'imagevotre clusterpodapi:1.4admispodworker:latestrefusé : faille critiquevalidating webhook
Le webhook lit un verdict mis en cache par digest. Il n'attend jamais la fin d'un scan.
Ce qu'elle fait

Décisions d'admission

Attestkeep enregistre un validating admission webhook. Quand l'API server l'interroge sur un pod, le webhook lit le verdict de l'image dans un cache indexé par digest et applique votre policy : il n'attend jamais la fin d'un scan, et un registry lent ne ralentit jamais un déploiement.

Un digest jamais vu est Unknown, jamais Compliant. La failure policy par défaut est Ignore : les déploiements continuent si l'operator est arrêté. Toute installation, Community comprise, peut choisir Fail et refuser tant que l'image n'est pas scannée.

Fonctionnement

Étape par étape.

  1. L'API server demande

    Il envoie l'admission review du pod au webhook.

  2. Le tag devient un digest

    Résolu une fois et gardé en cache une minute : une rafale de déploiements identiques ne fait qu'un appel au registry.

  3. Le verdict est lu

    Par digest, dans le cache que le scanner tient à jour.

  4. La policy décide

    Autoriser ou refuser, avec la raison.

  5. La décision est enregistrée

    Les autorisations comme les refus : une preuve qui ne liste que les refus ne peut montrer qu'un contrôle était opérant.

Ce qui est consigné

Chaque décision est inscrite dans le registre d'admission, avec le nom et le hash de la policy qui l'a prise.

AdmissionPolicies

75 exigences dans 11 frameworks citent ce que cette fonction enregistre.

Installez-le vous-même.

Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.

Créer un compte