Runtime avec Falco
Falco observe ce que font les containers une fois démarrés. Attestkeep reçoit ses événements en TLS mutuel, enregistre chacun avec l'image et le pod qui l'ont déclenché, et le compare aux policies runtime que vous écrivez dans la console. Falco est optionnel : vous l'installez et le configurez, et Attestkeep ne le fournit pas et n'y écrit rien.
La première policy qui correspond décide : consigner l'événement, envoyer une notification, ouvrir une issue dans votre tracker ou arrêter le pod. Un arrêt est une éviction demandée à l'API server, donc les PodDisruptionBudgets s'appliquent, et le contrôleur du pod en démarre un nouveau. Un événement runtime ne change jamais une décision d'admission.
Étape par étape.
Falco signale un événement
Directement ou via Falcosidekick, en TLS mutuel.
Une policy le capte
Selon règle, tags, priorité, namespace et image.
Une action suit
Consigner, notifier, ouvrir une issue ou arrêter le pod.
Un arrêt évince le pod
Tout de suite ou après son délai d'arrêt ; son contrôleur en démarre un nouveau.
Chaque arrêt est audité
Sous le nom de la policy, avec le pod et la règle Falco.
Le jeu de policies et son hash, leurs modifications, les compteurs d'événements, les alertes envoyées, les issues ouvertes et fermées et les pods arrêtés alimentent la section runtime du paquet.
1 exigence dans 1 framework cite ce que cette fonction enregistre.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte