Documentation

Wardpod repose sur un agent installé dans vos clusters, qui envoie ce qu'il observe à votre console. La console ne se connecte jamais à vos clusters.

Installer l'agent

1. Dans la console, ouvrez « Clusters et sources », puis « Ajouter un cluster ».
2. Copiez la commande kubectl apply proposée : elle contient le jeton de ce cluster.
3. Lancez-la avec le contexte kubectl du cluster à surveiller. L'agent s'installe dans kube-system.
4. Le cluster apparaît dans la console après le premier envoi, puis l'agent envoie un état complet toutes les 10 minutes.

L'agent utilise le Trivy Operator s'il est installé. Sinon, il analyse lui-même les images en service, une fois par digest.

Prérequis

• Le droit de créer un ClusterRole et un Deployment dans le cluster, pour l'installation.
• Une sortie HTTPS du cluster vers l'adresse de votre console. Aucun port entrant n'est nécessaire.
• Un volume persistant pour le cache de l'agent.
• Ressources de l'agent : 100 m de CPU et 256 Mio de mémoire réservés, 2 Gio de mémoire au plus.

Registres privés

Pour analyser des images privées, déclarez leurs identifiants dans un Secret dédié au format dockerconfigjson. L'agent ne lit jamais les autres Secrets du cluster.

Données collectées

• Images en service : registre, dépôt, digest, système de base.
• Paquets et versions de chaque image (SBOM), vulnérabilités trouvées.
• Workloads : nom, namespace, exposition (Service, Ingress, routes), réglages de sécurité des conteneurs.

Jamais : le contenu des images, les variables d'environnement, les Secrets, les journaux de vos applications.

Des exclusions par namespace, réglables dans la console, retirent ce que vous ne voulez pas suivre.

Sécurité

• Agent en lecture seule : ses droits se limitent à lire les pods, les services, les contrôleurs, les jobs, les Ingress, les routes et les rapports du Trivy Operator. Il n'a aucun droit sur les Secrets du cluster.
• Conteneur de l'agent sans root, avec un système de fichiers en lecture seule, sans élévation de privilèges, profil Pod Security restricted.
• Jetons d'agent conservés par empreinte ; un jeton n'écrit que dans son propre cluster, et chaque organisation est isolée des autres.
• Comptes avec double authentification (application, clé physique, code par mail), exigible pour toute l'organisation.
• Hébergement en France, sauvegardes chiffrées deux fois par jour, conservées dans un stockage verrouillé contre la suppression.
• Export de toutes vos données et suppression de l'organisation à tout moment. Voir aussi l'accord de traitement des données et l'état du service.

Retirer l'agent

Avec le contexte kubectl du cluster, cette commande supprime tout ce que l'installation a créé :

kubectl delete deployment,configmap,secret,persistentvolumeclaim,serviceaccount,clusterrolebinding,clusterrole,namespace --all-namespaces -l app.kubernetes.io/managed-by=wardpod-server

Supprimez ensuite le cluster dans la console pour effacer ses données.

Plans et facturation

• Chaque plan payant comprend un forfait mensuel et un prix par image distincte en service, calculé sur la moyenne de relevés quotidiens : ni les répliques ni le nombre de nœuds ne comptent. Voir les tarifs.
• Votre espace client donne une estimation de la période en cours, vos factures et votre moyen de paiement. La page « Consommation » de la console détaille le volume par cluster et par namespace.
• Une résiliation prend effet à la fin de la période payée : l'organisation et ses données sont alors supprimées. Elle s'annule jusque-là depuis l'espace client.
• Le plan se change depuis l'espace client et s'applique tout de suite, images de la période en cours comprises. Rien n'est prélevé ni remboursé sur le moment : la prochaine facture ajuste le forfait au prorata du temps restant. Exemple : passer de 250 € à 150 € par mois au milieu de la période donne 50 € de crédit (125 € non utilisés, moins 75 € au nouveau tarif), soit 100 € de forfait sur la prochaine facture au lieu de 150 €.
• Passer du plan Gratuit à un plan payant crée une console propre : les données de la console partagée ne sont pas reprises et l'agent se réinstalle.