Dokumentation

Wardpod beruht auf einem in Ihren Clustern installierten Agenten, der seine Beobachtungen an Ihre Konsole sendet. Die Konsole verbindet sich nie mit Ihren Clustern.

Agenten installieren

Öffnen Sie in der Konsole „Cluster und Quellen“ und dann „Cluster hinzufügen“.
Kopieren Sie den angebotenen Befehl kubectl apply: Er enthält das Token dieses Clusters.
Führen Sie ihn mit dem kubectl-Kontext des zu überwachenden Clusters aus. Der Agent wird in kube-system installiert.
Der Cluster erscheint nach dem ersten Versand in der Konsole; danach sendet der Agent alle 10 Minuten einen vollständigen Status.

Der Agent verwendet den Trivy Operator, wenn er installiert ist. Andernfalls analysiert er die laufenden Images selbst, einmal pro Digest.

Voraussetzungen

Das Recht, für die Installation eine ClusterRole und ein Deployment im Cluster anzulegen.
Ein ausgehender HTTPS-Zugang vom Cluster zur Adresse Ihrer Konsole. Kein eingehender Port nötig.
Ein persistentes Volume für den Cache des Agenten.
Ressourcen des Agenten: 100 m CPU und 256 MiB Arbeitsspeicher reserviert, höchstens 2 GiB Arbeitsspeicher.

Private Registries

Um private Images zu analysieren, hinterlegen Sie deren Zugangsdaten in einem eigenen Secret im Format dockerconfigjson. Der Agent liest nie die anderen Secrets des Clusters.

Erfasste Daten

Laufende Images: Registry, Repository, Digest, Basissystem.
Pakete und Versionen jedes Images (SBOM), gefundene Schwachstellen.
Workloads: Name, Namespace, Exposition (Service, Ingress, Routen), Sicherheitseinstellungen der Container.

Niemals: Inhalte der Images, Umgebungsvariablen, Secrets, Protokolle Ihrer Anwendungen.

Ausschlüsse pro Namespace, in der Konsole einstellbar, entfernen, was Sie nicht überwachen möchten.

Sicherheit

Agent mit reinem Lesezugriff: Seine Rechte beschränken sich auf das Lesen von Pods, Services, Controllern, Jobs, Ingresses, Routen und Berichten des Trivy Operators. Auf die Secrets des Clusters hat er keine Rechte.
Agenten-Container ohne Root, mit schreibgeschütztem Dateisystem, ohne Rechteausweitung, Pod-Security-Profil restricted.
Agenten-Tokens werden als Hash gespeichert; ein Token schreibt nur in seinen eigenen Cluster, und jede Organisation ist von den anderen isoliert.
Konten mit Zwei-Faktor-Authentifizierung (App, Sicherheitsschlüssel, Code per E-Mail), für die gesamte Organisation verpflichtend einstellbar.
Hosting in Frankreich, zweimal täglich verschlüsselte Backups, in einem gegen Löschung gesperrten Speicher aufbewahrt.
Export all Ihrer Daten und Löschung der Organisation jederzeit. Siehe auch die Auftragsverarbeitungsvereinbarung und den Dienststatus.

Agenten entfernen

Mit dem kubectl-Kontext des Clusters löscht dieser Befehl alles, was die Installation angelegt hat:

kubectl delete deployment,configmap,secret,persistentvolumeclaim,serviceaccount,clusterrolebinding,clusterrole,namespace --all-namespaces -l app.kubernetes.io/managed-by=wardpod-server

Löschen Sie anschließend den Cluster in der Konsole, um seine Daten zu entfernen.

Pläne und Abrechnung

Jeder kostenpflichtige Plan umfasst eine monatliche Grundgebühr und einen Preis pro laufendem eindeutigem Image, berechnet aus dem Durchschnitt täglicher Erhebungen: Weder Replikate noch die Anzahl der Knoten zählen. Siehe die Preise.
Ihr Kundenbereich zeigt eine Schätzung des laufenden Zeitraums, Ihre Rechnungen und Ihr Zahlungsmittel. Die Seite „Verbrauch“ der Konsole schlüsselt das Volumen nach Cluster und Namespace auf.
Eine Kündigung wird zum Ende des bezahlten Zeitraums wirksam: Die Organisation und ihre Daten werden dann gelöscht. Bis dahin lässt sie sich im Kundenbereich widerrufen.
Der Plan wird im Kundenbereich geändert und gilt sofort, einschließlich der Images des laufenden Zeitraums. Zu diesem Zeitpunkt wird nichts abgebucht oder erstattet: Die nächste Rechnung passt die Grundgebühr anteilig an die Restzeit an. Beispiel: Der Wechsel von 250 € auf 150 € pro Monat in der Mitte des Zeitraums ergibt 50 € Guthaben (125 € ungenutzt, abzüglich 75 € zum neuen Tarif), also 100 € Grundgebühr auf der nächsten Rechnung statt 150 €.
Der Wechsel vom Plan Kostenlos zu einem kostenpflichtigen Plan erstellt eine eigene Konsole: Die Daten der gemeinsamen Konsole werden nicht übernommen, und der Agent muss neu installiert werden.