Documentación

Wardpod se basa en un agente instalado en sus clústeres, que envía lo que observa a su consola. La consola nunca se conecta a sus clústeres.

Instalar el agente

1. En la consola, abra «Clústeres y fuentes» y luego «Añadir un clúster».
2. Copie el comando kubectl apply propuesto: contiene el token de este clúster.
3. Ejecútelo con el contexto kubectl del clúster que quiera vigilar. El agente se instala en kube-system.
4. El clúster aparece en la consola tras el primer envío; después, el agente envía un estado completo cada 10 minutos.

El agente usa el Trivy Operator si está instalado. Si no, analiza él mismo las imágenes en ejecución, una vez por digest.

Requisitos

• El derecho de crear un ClusterRole y un Deployment en el clúster, para la instalación.
• Una salida HTTPS del clúster hacia la dirección de su consola. No se necesita ningún puerto de entrada.
• Un volumen persistente para la caché del agente.
• Recursos del agente: 100 m de CPU y 256 MiB de memoria reservados, 2 GiB de memoria como máximo.

Registros privados

Para analizar imágenes privadas, declare sus credenciales en un Secret dedicado con formato dockerconfigjson. El agente nunca lee los demás Secrets del clúster.

Datos recopilados

• Imágenes en ejecución: registro, repositorio, digest, sistema base.
• Paquetes y versiones de cada imagen (SBOM), vulnerabilidades encontradas.
• Workloads: nombre, namespace, exposición (Service, Ingress, rutas), ajustes de seguridad de los contenedores.

Nunca: el contenido de las imágenes, las variables de entorno, los Secrets, los registros de sus aplicaciones.

Las exclusiones por namespace, configurables en la consola, retiran lo que no quiera seguir.

Seguridad

• Agente de solo lectura: sus derechos se limitan a leer los pods, los servicios, los controladores, los jobs, los Ingress, las rutas y los informes del Trivy Operator. No tiene ningún derecho sobre los Secrets del clúster.
• Contenedor del agente sin root, con sistema de archivos de solo lectura, sin elevación de privilegios, perfil Pod Security restricted.
• Tokens de agente conservados por huella; un token solo escribe en su propio clúster, y cada organización está aislada de las demás.
• Cuentas con autenticación de dos factores (aplicación, llave física, código por correo), exigible a toda la organización.
• Alojamiento en Francia, copias de seguridad cifradas dos veces al día, conservadas en un almacenamiento bloqueado contra la eliminación.
• Exportación de todos sus datos y eliminación de la organización en cualquier momento. Vea también el acuerdo de tratamiento de datos y el estado del servicio.

Retirar el agente

Con el contexto kubectl del clúster, este comando elimina todo lo que creó la instalación:

kubectl delete deployment,configmap,secret,persistentvolumeclaim,serviceaccount,clusterrolebinding,clusterrole,namespace --all-namespaces -l app.kubernetes.io/managed-by=wardpod-server

Después, elimine el clúster en la consola para borrar sus datos.

Planes y facturación

• Cada plan de pago incluye una cuota mensual y un precio por imagen distinta en ejecución, calculado sobre la media de lecturas diarias: ni las réplicas ni el número de nodos cuentan. Vea los precios.
• Su área de cliente ofrece una estimación del periodo en curso, sus facturas y su medio de pago. La página «Consumo» de la consola detalla el volumen por clúster y por namespace.
• Una baja surte efecto al final del periodo pagado: la organización y sus datos se eliminan entonces. Puede anularse hasta entonces desde el área de cliente.
• El plan se cambia desde el área de cliente y se aplica de inmediato, incluidas las imágenes del periodo en curso. No se cobra ni se reembolsa nada en ese momento: la siguiente factura ajusta la cuota a prorrata del tiempo restante. Ejemplo: pasar de 250 € a 150 € al mes a mitad del periodo da 50 € de crédito (125 € sin usar, menos 75 € a la nueva tarifa), es decir, 100 € de cuota en la siguiente factura en lugar de 150 €.
• Pasar del plan Gratuito a un plan de pago crea una consola propia: los datos de la consola compartida no se conservan y hay que reinstalar el agente.