Documentazione

Wardpod si basa su un agente installato nei suoi cluster, che invia ciò che osserva alla sua console. La console non si collega mai ai suoi cluster.

Installare l'agente

1. Nella console, apra «Cluster e fonti», poi «Aggiungi un cluster».
2. Copi il comando kubectl apply proposto: contiene il token di questo cluster.
3. Lo esegua con il contesto kubectl del cluster da monitorare. L'agente si installa in kube-system.
4. Il cluster appare nella console dopo il primo invio, poi l'agente invia uno stato completo ogni 10 minuti.

L'agente usa il Trivy Operator se è installato. Altrimenti analizza da solo le immagini in esecuzione, una volta per digest.

Prerequisiti

• Il diritto di creare un ClusterRole e un Deployment nel cluster, per l'installazione.
• Un'uscita HTTPS dal cluster verso l'indirizzo della sua console. Nessuna porta in ingresso necessaria.
• Un volume persistente per la cache dell'agente.
• Risorse dell'agente: 100 m di CPU e 256 MiB di memoria riservati, 2 GiB di memoria al massimo.

Registry privati

Per analizzare immagini private, dichiari le loro credenziali in un Secret dedicato in formato dockerconfigjson. L'agente non legge mai gli altri Secret del cluster.

Dati raccolti

• Immagini in esecuzione: registry, repository, digest, sistema di base.
• Pacchetti e versioni di ogni immagine (SBOM), vulnerabilità trovate.
• Workload: nome, namespace, esposizione (Service, Ingress, route), impostazioni di sicurezza dei container.

Mai: il contenuto delle immagini, le variabili d'ambiente, i Secret, i log delle sue applicazioni.

Esclusioni per namespace, regolabili nella console, rimuovono ciò che non vuole seguire.

Sicurezza

• Agente in sola lettura: i suoi diritti si limitano a leggere pod, servizi, controller, job, Ingress, route e report del Trivy Operator. Non ha alcun diritto sui Secret del cluster.
• Container dell'agente senza root, con file system in sola lettura, senza elevazione di privilegi, profilo Pod Security restricted.
• Token dell'agente conservati come impronta; un token scrive solo nel proprio cluster e ogni organizzazione è isolata dalle altre.
• Account con autenticazione a due fattori (app, chiave fisica, codice via e-mail), richiedibile per tutta l'organizzazione.
• Hosting in Francia, backup cifrati due volte al giorno, conservati in uno storage bloccato contro l'eliminazione.
• Esportazione di tutti i suoi dati ed eliminazione dell'organizzazione in qualsiasi momento. Veda anche l'accordo sul trattamento dei dati e lo stato del servizio.

Rimuovere l'agente

Con il contesto kubectl del cluster, questo comando elimina tutto ciò che l'installazione ha creato:

kubectl delete deployment,configmap,secret,persistentvolumeclaim,serviceaccount,clusterrolebinding,clusterrole,namespace --all-namespaces -l app.kubernetes.io/managed-by=wardpod-server

Elimini poi il cluster nella console per cancellarne i dati.

Piani e fatturazione

• Ogni piano a pagamento comprende un canone mensile e un prezzo per immagine distinta in esecuzione, calcolato sulla media di rilevazioni giornaliere: né le repliche né il numero di nodi contano. Veda i prezzi.
• La sua area clienti mostra una stima del periodo in corso, le fatture e il metodo di pagamento. La pagina «Consumo» della console dettaglia il volume per cluster e per namespace.
• Una disdetta ha effetto alla fine del periodo pagato: l'organizzazione e i suoi dati vengono allora eliminati. Fino ad allora si può annullare dall'area clienti.
• Il piano si cambia dall'area clienti e si applica subito, comprese le immagini del periodo in corso. Nulla viene addebitato o rimborsato al momento: la fattura successiva adegua il canone in proporzione al tempo restante. Esempio: passare da 250 € a 150 € al mese a metà periodo dà 50 € di credito (125 € non usati, meno 75 € alla nuova tariffa), cioè 100 € di canone sulla prossima fattura invece di 150 €.
• Passare dal piano Gratuito a un piano a pagamento crea una console propria: i dati della console condivisa non vengono ripresi e l'agente va reinstallato.