Установка решения в Yandex Managed Service for Kubernetes

Следуя этому сценарию, вы можете установить Kaspersky Container Security в Yandex Managed Service for Kubernetes со всеми компонентами, необходимыми для работы решения, а также выполнить первоначальную настройку.

Подготовка к установке

Перед установкой Kaspersky Container Security необходимо выполнить следующие действия:

• Подготовить инфраструктуру: убедитесь, что соблюдены аппаратные и программные требования к оборудованию.
• Получить и настроить доступ к Yandex Managed Service for Kubernetes.

Установка Kaspersky Container Security

Для установки решения в Yandex Managed Service for Kubernetes выполните следующие действия:

1. В разделе Кластер → Marketplace сервиса Yandex Managed Service for Kubernetes выберите кластер, в котором хотите установить Kaspersky Container Security.
2. В открывшемся окне Установка Kaspersky Container Security for Managed Kubernetes настройте следующие параметры:
   1. В раскрывающемся списке Пространство имен выберите пространство имен, в котором будет установлено решение.

      Вы также можете создать пространство имен для установки Kaspersky Container Security, нажав на кнопку Создать.

   2. В поле Название укажите название устанавливаемого решения (например, KCS).
   3. В раскрывающемся списке Сервисный аккаунт для узлов выберите сервисный аккаунт для рабочих узлов кластера, в который будет установлено решение.

      Вы также можете создать сервисный аккаунт для узлов, нажав на кнопку Создать.

   4. В поле Авторизованный ключ сервисного аккаунта укажите ключ выбранного сервисного аккаунта для узлов кластера.

      В консоли управления Yandex Managed Service for Kubernetes необходимо заранее выбрать или создать сервисный аккаунт и назначить ему роль license-manager.user.

      Вы также можете создать авторизованный ключ.

      Чтобы создать авторизованный ключ сервисного аккаунта в Yandex:

      1. Нажмите на кнопку Создать, расположенную рядом с полем Авторизованный ключ сервисного аккаунта.
      2. В открывшемся окне укажите значения следующих параметров:
         • В раскрывающемся списке Сервисный аккаунт выберите сервисный аккаунт, для которого создается авторизованный ключ.
         • Выберите Алгоритм шифрования: RSA_2048 или RSA_4096.
         • В поле Описание добавьте описание создаваемого авторизованного ключа.
      3. Нажмите на кнопку Создать.

   5. В поле Доменное имя укажите доменное имя, которое будет использоваться по умолчанию для всех входящих соединений и переменных окружения Kaspersky Container Security.
   6. При необходимости установите флажок Создание сетевых политик для создания сетевых политик безопасности для служб решения в пространстве имен Kaspersky Container Security.

      Если вы включили сетевые политики, также выполните следующие действия:

      • В поле Имя пространства имен ингресс-контроллера или gatewayAPI для сетевой политики перечислите применимые пространства имен.
      • В поле CIDR-блоки внешних источников входящего трафика укажите диапазоны IP-адресов, записанные в нотации CIDR для доступа к подам внешних балансировщиков нагрузки (если они используются).

      Если сетевые политики не включены, эти параметры не используются.

   7. В поле Количество сканеров укажите количество реплик сканеров, необходимых для модуля обработки заданий на сканирование. Количество сканеров можно увеличить, чтобы ускорить сканирование образов.
   8. В поле Количество реплик брокера агентов укажите количество реплик для компонента Брокер данных агентов, необходимых для обеспечения связи между агентами решения. Количество реплик можно увеличить, в зависимости от количества установленных агентов. Для расчета нужного количества реплик используется соотношение 1:2000 (одна реплика на 2000 агентов).
   9. При необходимости укажите имя секрета, который содержит учетные данные технических учетных записей, используемых решением для доступа к репозиториям при сканировании образов.
   10. При необходимости в поле Учетные данные технических учетных записей укажите данные технических учетных записей, которые использует решение для доступа к репозиториям при сканировании образов. Значение этого параметра передается в виде JSON-файла, закодированного в формате Base64.
   11. Определите тип обслуживания входящего трафика (ingressController или gatewayAPI) и укажите его параметры.

       Если вы выбрали тип обслуживания ingressController, укажите значения следующих параметров:

       • В поле Тип входящего трафика укажите тип трафика для входящих соединений: http или https.
       • В поле TLS-секрет укажите имя секрета с TLS-сертификатами для входящих соединений в пространстве имен Kaspersky Container Security.

         Если вы указали http как тип входящего трафика, этот параметр не применяется.

       • В поле Класс Ingress-объекта укажите класс Ingress-ресурса, если он не определен в кластере по умолчанию. Если параметр задан в кластере по умолчанию, значение класса Ingress-ресурса можно не указывать.
       • В блоке Пользовательские аннотации для объекта Ingress укажите аннотации в формате <ключ>:<значение>.

         Пользовательские аннотации при использовании контроллера Yandex Gwin

         gwin.yandex.cloud/groupName: kcs

         gwin.yandex.cloud/securityGroups: <sg-id>

         Если вы используете контроллер Yandex Gwin, также включите параметр Создать Gwin ServicePolicy для сервисов ClusterIP. Решение создаст объект ServicePolicy, с ним Yandex Gwin направит трафик с балансировщика напрямую в под.

         В Yandex Managed Service for Kubernetes не поддерживается настройка маршрутизации внешнего трафика в поды, если в кластере используется контроллер Yandex Gwin вместе с CNI Cilium.

       Если вы выбрали тип обслуживания gatewayAPI, укажите значения следующих параметров:

       • В поле Тип входящего трафика укажите тип трафика для входящих соединений: http или https.
       • Укажите параметры предварительно созданного объекта Gateway, который будет использовать ресурс HTTPRoute (имя, пространство имен, тип, API-группа Kubernetes, к которой принадлежат ресурсы Gateway, порт, имя секций http и https в Gateway).

         Если вы используете контроллер Yandex Gwin, также включите параметр Создать Gwin ServicePolicy для сервисов ClusterIP. Решение создаст объект ServicePolicy, с ним Yandex Gwin направит трафик с балансировщика напрямую в под.

   12. Укажите объемы хранилищ (PVC) и параметры подключения к системе хранения данных (StorageClass) для следующих внешних ресурсов для хранения данных:
       • СУБД PostgreSQL.

         Для шифрования конфиденциальной информации в базе данных PostgreSQL используется переменная APP_SECRET.

       • s3-совместимое файловое хранилище.
       • СУБД ClickHouse (диски для краткосрочного и долгосрочного хранения данных).

         При необходимости установите флажок Запуск ClickHouse с одним PV, чтобы запустить компонент СУБД ClickHouse (kcs-clickhouse) с одним PV в холодном хранилище ClickHouse (pvc-clickhouse-cold).

         Для операций ввода-вывода может использоваться медленное подключения к диску для долгосрочного хранения данных.

       Вы можете указать предельные значения для использования процессора и оперативной памяти компонентами СУБД ClickHouse и СУБД PostgreSQL. Объем данных для PVC определяется в ГБ.

       Если параметры подключения к системе хранения данных заданы в кластере по умолчанию, значение StorageClass можно не указывать.

   13. При необходимости установите флажок Взаимодействие по TLS, чтобы активировать возможность иcпользовать межсервисное взаимодействие по протоколу TLS. При применении этого параметра все сертификаты генерируются автоматически.
   14. В раскрывающемся списке Режим PostgreSQL выберите значение sslmode для подключения к СУБД PostgreSQL.
   15. При необходимости установите флажок Cканирование Java-пакетов, чтобы получить возможность сканировать Java-пакеты в составе образов в реестрах.
   16. Укажите значения имени пользователя и пароли для следующих параметров:
       • Имя пользователя PostgreSQL.
       • Пароль PostgreSQL.
       • Имя пользователя S3-совместимого хранилища.
       • Пароль S3-совместимого хранилища.
       • Пароль ClickHouse.
       • Имя пользователя Memcached.
       • Пароль Memcached.
       • Криптографический секрет для шифрования конфиденциальных данных APP_SECRET.
3. В блоке Способ тарификации выберите необходимую подписку из списка доступных подписок.
4. Нажмите Установить.

   Yandex Managed Service for Kubernetes запустит процесс установки Kaspersky Container Security. Вы можете отслеживать прогресс установки на открывшейся странице Managed Service for Kubernetes или в своем кластере.

   После окончания установки вы сможете открыть решение, указав установленное по умолчанию доменное имя.

   Лицензионный ключ на выбранное вами в подписке количество узлов активируется в Kaspersky Container Security автоматически.

Установка Kaspersky Container Security for Managed Kubernetes (Agents)

После установки Kaspersky Container Security необходимо создать и подключить группу агентов. Для этого необходимо установить решение Kaspersky Container Security for Managed Kubernetes (Agents).

До установки Kaspersky Container Security for Managed Kubernetes (Agents) вам нужно создать группу агентов в веб-интерфейсе Kaspersky Container Security. При создании группы агентов в поле Веб-адрес в блоке Реестр на вкладке Общая информация вы можете указать любое произвольное значение.

Вам нужно установить Kaspersky Container Security for Managed Kubernetes (Agents) со значениями параметров агентов, которые указаны в конфигурационном файле kcs-agents-2.5.x.yaml, входящем в комплект поставки решения:

1. В разделе Кластер → Marketplace сервиса Yandex Managed Service for Kubernetes выберите кластер, где установлено решение Kaspersky Container Security.
2. Выберите Kaspersky Container Security for Managed Kubernetes (Agents).
3. В открывшемся окне Установка Kaspersky Container Security for Managed Kubernetes (Agents) настройте следующие параметры:
   1. В раскрывающемся списке Пространство имен выберите пространство имен, в котором будет установлено приложение Kaspersky Container Security for Managed Kubernetes (Agents).

      Вы также можете создать пространство имен для установки приложения, нажав на кнопку Создать.

   2. В поле Название приложения укажите название устанавливаемого приложения (например, kcs-agents).
   3. В раскрывающемся списке Сервисный аккаунт для узлов выберите сервисный аккаунт для рабочих узлов кластера, в который будет установлено решение.

      Вы также можете создать сервисный аккаунт для узлов, нажав на кнопку Создать.

   4. В поле Базовый URL веб-интерфейса KCS укажите доменное имя установленного решения для доступа к веб-интерфейсу. Доменное имя указывается с версией протокола (например, https://kcs.example.com).

      В конфигурационном файле значение указывается для переменной API_URL.

   5. В поле Токен для установки группы агентов укажите значение токена, который генерируется при создании группы агентов в веб-интерфейсе решения.

      В конфигурационном файле значение указывается для переменной TRON_TOKEN.

   6. В поле Название группы агентов введите название группы агентов, созданной в веб-интерфейсе решения.

      В конфигурационном файле значение указывается для переменной CLUSTER_NAME.

   7. В поле Идентификатор группы агентов введите идентификатор группы агентов из веб-интерфейса Kaspersky Container Security.

      Значение идентификатора группы агентов генерируется после создания группы агентов и доступно в строке браузера.

      В конфигурационном файле значение указывается для переменной AGENT_GROUP_ID.

   8. Если вы хотите проверять контрольную сумму образа в реестре, установите флажок Проверка digest образа в реестре. Проверку контрольной суммы образа осуществляется при реализации политик среды выполнения.

      Выключение проверки повышает производительность, но при этом решения о соответствии образа требованиям принимаются только на основе имени и тега образа.

   9. При необходимости укажите имя секрета, который содержит учетные данные технических учетных записей, используемых решением для доступа к репозиториям при сканировании образов.
   10. Укажите порт, который используется агентом node-agent для проверки работоспособности на узле.

       По умолчанию используется порт 33133.

   11. При необходимости установите ограничение на использование ресурсов процессора и оперативной памяти агентом node-agent.
   12. При необходимости в поле Учетные данные технических учетных записей укажите данные технических учетных записей, которые использует решение для доступа к репозиториям при сканировании образов. Значение этого параметра передается в виде JSON-файла, закодированного в формате Base64.
4. Нажмите на кнопку Установить.