Sık sorulan sorular

Cluster'ınızda çalışan image'ları zafiyet için tarar, imzalarını ve attestation'larını doğrular, admission webhook'un neyi kabul edeceğine karar verir ve her kararın, istisnanın ve break-glass kullanımının denetim kaydını tutar. Operator, API'si, console'u ve veritabanı size ait bir namespace'e kurulur.

Runtime sensörü değildir. Çalışan bir container içindeki syscall'ları, ağ trafiğini ya da process ağaçlarını kendisi izlemez; Falco kurarsanız bunu Falco yapar, Attestkeep'in runtime policy'leri de Falco event'lerinin neye yol açacağına karar verir. Cloud posture aracı da değildir: bulut sağlayıcı hesabınızı ya da IAM policy'lerinizi okumaz.

Yaptığı iş daha dar ama kanıtlanabilir: neyin başlayabileceğine karar verir ve verdiği kararların kaydını tutar.

Image güvenliğinde onlarla örtüşür ve daha ileri gider: bu engine'ler "deny the :latest tag" gibi bir kural yazabilir, ama kuralın arkasında bir tarayıcı, bir CVE önbelleği ve bir imza doğrulayıcı yoktur. Attestkeep üçünü de içerir ve image'la ilgili kuralları, tarama sonuçlarını yazdığı karar deposunun kendisinden uygular.

Bir policy engine'in yaptığı diğer her şey için, yani label'lar, kaynak limitleri ve namespace kuralları için doğru araç yine onlardır; ikisi çakışmadan yan yana çalışır. Daha uzun cevap Kyverno ile Attestkeep'i karşılaştıran sayfada; Trivy Operator ve Sigstore policy-controller için de aynı karşılaştırma var.

Bu sürümde yok. Her cluster kendi operator'ünü, kendi veritabanı ve console'uyla çalıştırır ve bunlar tasarım gereği birbirinden bağımsızdır; hiçbir şeyin cluster sınırını geçmesi gerekmemesinin sebebi de bu. Birçok kurulumu tek sayfada özetleyen bir fleet görünümü yol haritasında, ama tarihi yok; tutturamayabileceğimiz bir sürüm adı vermektense bunu açıkça söylemeyi tercih ediyoruz.

Operator'ün kendisi çalışır: release image'ı iki mimari için de build edilip imzalanır. Ancak tarama sonuçları şu an linux/amd64 üzerinden kaydedilir; yani çok mimarili bir image'da bulgu, arm64 node'un çalıştıracağı varyantı değil, index'teki amd64 image'ını anlatır. Platform başına ayrı sonuçlar yapılacaklar listesinde.

1.27 ve sonrasındaki her uyumlu dağıtım; managed servisler, k3s ve OpenShift dahil. Operator standart admission webhook'larını ve CRD'leri kullanır; node agent, privileged DaemonSet ya da kernel modülü gerektirmez.

Lisans için günde bir kez üç değer: lisans kimliği, cluster'ın parmak izi ve operator sürümü. Bunun dışında hiçbir şey, hele ne çalıştırdığınızı anlatan hiçbir şey gönderilmez: image adı, bulgu, CVE kimliği, workload ya da namespace adı, cluster topolojisi, kullanıcı hesabı ve veritabanınızdan herhangi bir veri gitmez.

Bunları göndermemeyi seçmiş değiliz; onları taşıyacak bir yol yok. Planınızın image, framework ve node için koyduğu sınırları operator kendi cluster'ınızın içinde sayar ve uygular; bu sayıların oradan çıkması için bir sebep yoktur. Bulgularınızın, image adlarınızın ya da cluster yapınızın hiçbir kopyası bizde yoktur. Çalıştırdığınız her image'ın listesini isteyen bir güvenlik console'u, bu ürünün tam olarak olmamaya çalıştığı şeydir.

Günlük kontrolün neden var olduğu ve başarısız olduğunda ne olduğu lisanslama sayfasında anlatılıyor.

Hiç. Günlük lisans kontrolü analitik değildir ve gizlice analitik işi de görmez: yukarıdaki üç değeri taşır ve bir sonuç döner; hiçbir parçası ürünü nasıl kullandığınızı anlatmaz. Kaç image taradığınızı, hangi framework'leri açtığınızı ya da bu hafta birinin giriş yapıp yapmadığını bizden kimse göremez.

Web sitesinde de yok: analitik script'i, tag manager ya da üçüncü taraf gömülü içerik bulunmaz. Çerez bildiriminin soracak bu kadar az şeyi olmasının sebebi bu.

Sizin yönettiğiniz bir PostgreSQL veritabanında; kendi namespace'inizde ya da kendi sunucunuzda. Export edebilir, yedekleyebilir ya da namespace'i silebilirsiniz; biz onu okuyamayız ve kopyasını tutmayız.

Kurulumun adı, image referansı ve karar. Node adı, iç adres ya da endpoint asla yer almaz. Bildirimler yalnızca sizin yapılandırdığınız kanallara (Slack, Teams, e-posta, webhook) gider, başka hiçbir yere gitmez.

Evet. Tarayıcı ve imza doğrulayıcı release image'ına sabitlenmiştir, zafiyet veritabanını kendi registry'nize mirror'larsınız ve compliance eşlemesi operator'ün içinde gelir; böylece bağlantısız bir kurulum da bağlı bir kurulumla aynı raporu üretir.

Eskiden dışarıya yol gerektiren kısım lisanslamaydı. Artık içeri taşıdığınız bir sertifikayla yapılıyor: console bu cluster'ı tanımlayan küçük bir aktivasyon talebi yazar (parmak izi, operator'ün public key'i, cluster adı ve sürüm). Bunu lisans sayfanıza yüklersiniz; Enterprise lisansta önce offline aktivasyon koşullarını kabul edersiniz. Gelen sertifika yalnızca o cluster için verilmiştir. Ödenen dönemin sonuna otuz gün eklenene kadar, bitiş tarihi olmayan bir lisansta on iki ay geçerlidir ve süresi dolmadan otuz gün önce uyarır. Kurulum bu sertifikayı kullandığı sürece hiçbir lisans çağrısı yapmaz.

Offline aktivasyon, yıllık Enterprise lisanslarda satın almadan sonraki on beşinci günden itibaren ve bizimle sözleşmeyle açılmış her yıllık lisansta kullanılabilir. Adımlar kurulum kılavuzunda. Dışarıya yolu olan bir cluster daha basit yolu kullanmaya devam eder: aktivasyon anahtarı ve günlük kontrol.

Helm chart kendi PostgreSQL'ini getirir ya da zaten çalıştırdığınız bir veritabanı için DSN alır. Mevcut bir veritabanını gösterirseniz chart veritabanı da, onun için volume claim de oluşturmaz; geriye yalnızca tarayıcının zafiyet veritabanı önbelleği için bir claim kalır. Her iki durumda da operator kendi tablolarını ilk başlangıçta oluşturur ve migrate eder; sizin çalıştırmanız gereken bir SQL ya da upgrade sırasında unutulabilecek bir migration adımı yoktur.

Varsayılan webhook failure policy Ignore'dur: operator cevap veremezse deployment'lar durmak yerine korumasız devam eder. Ayakta kalması gereken bir cluster için güvenli varsayılan budur. Community dahil her sürüm Fail'e geçebilir ve henüz taranmamış her şeyi reddedebilir; bu, bilerek ve açıkça yapılan bir tercihtir.

Admission birden çok replica ile çalışır ve node'lara dağıtılır. Periyodik işler (tarama, lisans kontrolleri, retention) bir PostgreSQL advisory lock ile her an yalnızca tek bir replica'da yürür; böylece ikinci bir replica aynı taramayı ya da bildirimi tekrarlamaz.

Operator yönetir. Anahtar çifti cluster içinde üretilir ve rotate edilir; her replica yenisini restart gerekmeden alır. cert-manager bağımlılığı yoktur, takviminize yıllık bir hatırlatma koymanız da gerekmez.

Upgrade helm upgrade ile yapılır; gömülü migration'lar yeni adımları uygular, gerisini atlar. Kaldırmak için helm uninstall yeter, ardından namespace'i silersiniz. Webhook release ile birlikte kaldırılır; yani kaldırılmış bir operator geride admission'ı engelleyen bir webhook bırakmaz.

attestkeep.com'da hesap açar, bir paket ve isterseniz ek paketler seçer, bir anahtar alırsınız. Anahtarı kendi console'unuza girersiniz; aktivasyon bu anahtarı, satın aldıklarınızı, verildiği cluster'ı ve bitiş tarihini içeren imzalı bir sertifikayla değiştirir. Community Edition da aynı şekilde çalışır; tek farkı sertifikasının bitiş tarihi olmamasıdır.

Bundan sonra operator her başlangıçta sertifikayı cluster'dan çıkmadan kontrol eder: imzamızı, bitiş tarihini ve içindeki parmak izinin bu cluster'a ait olup olmadığını. Bundan ayrı olarak günde bir kez lisansı bizimle kontrol eder. Sertifika otuz gün geçerli olduğu için günlük kontrolün başarısız olması uzun süre hiçbir şeyi değiştirmez; ayrıntıların tamamı lisanslama sayfasında.

Kurulum Community Edition'a döner. Durmaz, sizi dışarıda bırakmaz, deployment'ları reddetmeye başlamaz; tarama ve admission ücretsiz sınırlar içinde devam eder. Fatura tarihi geldi diye kendini kapatan bir güvenlik kontrolü, ödenmemiş bir faturadan daha kötü bir sonuçtur.

Lisans sunucusuna bir ay boyunca ulaşılamadığı için süresi dolan sertifika da aynı şekilde davranır ve bu durum çok önceden haber verilir: bağlantısız geçen bir haftanın ardından console uyarır, sertifikanın süresi dolmadan önce de yöneticilere e-posta gider.

Süreli bir deneme yok, bilerek böyle: Community Edition bütün güvenlik özelliklerini içerir ve süresi dolmaz; yani bir denemenin göreceği işi kendi cluster'ınızda, istediğiniz kadar görür. Ücretli planlar güvenlik yeteneği değil, kapasite ve single sign-on ekler. Ücretli bir lisans yenilenmeden sona ererse kurulum hiçbir şeyi kapatmadan Community Edition'a döner.

Ödemeleri merchant of record'umuz Polar Software, Inc. alır ve lisansı size yeniden satar: fatura Polar'ın faturasıdır, fatura adresinize göre ödenmesi gereken vergi Polar'ın checkout'unda hesaplanıp tahsil edilir ve kart numarası bize hiç ulaşmaz. Lisans ve destek bize aittir. AB'de KDV kaydı olan bir şirket KDV'yi reverse charge ile kendisi beyan eder.

Planınızın kapsadığı sayıya kadar, evet; fiyat listesindeki cluster sayısı tam olarak bunu ifade eder. Community ve Team 1, Business 3, Enterprise 5 cluster içerir. Aynı anahtar hepsini aktive eder ve her aktivasyon bir slot harcar; hangi cluster'ların slot tuttuğunu ve kaç slotun boş olduğunu hesabınızda görürsünüz.

Bu sayının ötesindeki aktivasyon sessizce kabul edilmez, reddedilir. Kullanmadığınız bir slotu serbest bırakabilir ya da çalışan kurulumlara dokunmadan elinizdeki anahtara cluster ekleyebilirsiniz.

Faturalama için değil: kullanım ölçümü ve kullanıma göre değişen bir fatura yoktur. Her plan cluster başına bir node tavanı belirler: Community 1, Team 6, Business 10, Enterprise 20. Ek node'lar tek tek, checkout'ta cluster başına en fazla 50 node'a kadar satın alınır.

Operator cluster içindeki Ready node'ları sayar ve bu sayı hiçbir yere gönderilmez; günlük lisans kontrolü yine aynı üç değeri taşır. Tavan aşıldığında hiçbir şey durmaz: console ve bir bildirim bunu haber verir ve 14 gün sonrasının tarihini gösterir. Bu 14 gün dolunca yalnızca bu dönem henüz görülmemiş image adları reddedilir; daha önce sayılmış her şey çalışmaya devam eder. Cluster tavanın altına dönünce süre sıfırlanır.

Bağlantı koptuğunda sertifikanın kalan süresine göre on gün ile bir ay arasında hiçbir şey değişmez. Başarısız kontroller ertesi günü beklemeden birkaç saat sonra tekrar denenir; bu yüzden bir kesintinin lisans sorununa dönüşmesi için haftalarca sürmesi gerekir. Console da bunu sonradan öğrenmenize izin vermez, ilk haftanın sonunda uyarır.

Ulaşılamamak ile reddedilmek farklı şeylerdir: sessizlik sertifikanın kalan süresinden yer, lisansın serbest bırakıldığını ya da iptal edildiğini söyleyen bir cevap ise hemen uygulanır.

Operator'ü yeniden kurmak ücretsizdir: parmak izi operator'den değil cluster'dan türetilir; operator'ü silip yeniden deploy etmek için bizden bir şey gerekmez ve sertifika çalışmaya devam eder.

Cluster'ı yeniden kurmak ise yeni bir parmak izi üretir; lisans açısından bu yeni bir cluster demektir ve bir slot harcar. Eski cluster hâlâ duruyorsa önce orada Deactivate yapın, slot hemen boşalır. Artık yoksa slotunu hesabınızdan serbest bırakın; listede slot tutan her cluster ve aktivasyon tarihi yer aldığı için hangisinin hangisi olduğunu ayırt edebilirsiniz.

Bugün 13 mevzuat ve standart: Cyber Resilience Act, yani (AB) 2024/2847 sayılı Tüzük, ve yanında NIS2; DORA; SOC 2 Trust Services Criteria; NIST SP 800-190; SSDF (SP 800-218); seçilmiş SP 800-53 Rev. 5 kontrolleri; ISO/IEC 27001:2022 Ek A; GDPR Madde 32; PCI DSS v4.0.1 Gereksinim 6 ve 11; MAS Technology Risk Management Guidelines (Ocak 2021); ASD Essential Eight Maturity Model (Kasım 2023); ISMAP Control Criteria (Ağustos 2024) ve ISMS-P sertifikasyon kriterleri (Kasım 2023).

Eşleme dışarıdan çekilmez, operator'ün içinde gelir; bu yüzden dışarıya tek yolu lisans endpoint'i olan bir cluster da tamamen bağlı bir cluster'la aynı belgeyi üretir. Her madde kendi kaynağını ve arkasındaki değerlendirmeyi taşır. Cluster'ın cevaplayamayacağı bir madde gerekçesiyle kapsam dışı işaretlenir; çünkü olduğundan fazlasını iddia eden bir kanıt paketi, sınırlarını açıkça söyleyen bir paketten daha az değerlidir.

Ücretsiz sürüm, seçtiğiniz 1 framework'ü içerir; ücretli planlarda daha fazlası vardır.

Hayır, belgenin üzerinde de bu yazar. Kendi kayıtlarınızdan üretilmiş bir kanıttır ve hiçbir denetçi onu kabul etmek zorunda değildir. Yaptığı şey, tablo dosyasıyla uğraşma aşamasını ortadan kaldırmaktır: kimin hangi riski ne zaman ve ne kadar süreyle kabul ettiği zaten kayıtlıdır.

met (karşılanıyor), partial (kısmen), gap (eksik) ve outside_scope (kapsam dışı). Geçti/kaldı biçimindeki bir rapor her kontrolü yalan söylemeye zorlar; outside_scope, kontrolün bir Kubernetes admission controller'ı için geçerli olmadığını söyler. Bu savunulabilir bir cevaptır ve kalmaktan farklıdır. Webhook bir salı günü kırk dakika kapalı kaldıysa o aralık belgede yazar.

github.com/attestkeep/attestkeep-docs adresindeki herkese açık issue tracker'da. Community Edition dahil her sürümden gelen bildirimler orada açıkta ele alınır; ilk bildirimlerin çoğu ücretsiz sürümden gelir ve bunları kapalı kapılar ardında kapatmak bu katkıyı boşa harcamak olur.

Herkese açık bir issue'da değil. Güvenlik sayfasında anlatılan private advisory yolunu kullanın; üç iş günü içinde bildiriminizin alındığını teyit ederiz. Düzeltilen sorunlar, düzeltmeyi içeren release çıktıktan sonra aynı repo'da advisory olarak yayımlanır.

Community Edition'ın desteği herkese açık issue tracker üzerinden verilir; ücretli sürümlerin hataları da orada ele alınır, bildirimler ödediğiniz tutara göre sıralanmaz. Ücretli planlar e-posta desteği ekler; Business ve üstünde e-postanız sıranın önüne alınır.

Hiçbir plan için cevap süresi garantisi yayımlamıyoruz. Bu sayfaya yazılacak bir süre, kimseyle ayrıca anlaşmamış bir ekibin herkese birden verdiği bir söz olurdu. Kötü bir haftada savunmak zorunda kalabileceğimiz bir rakam yazmaktansa hızlı cevap vermeyi tercih ediyoruz.