Descobriments Docker

Els descobriments Docker permeten llistar un conjunt d’imatges Docker a partir d’un registre o d’un desplegament existent. Després, les imatges Docker descobertes es poden afegir a Cyberwatch amb una acció en bloc perquè s’escanegin.

Kubernetes mitjançant kubeconfig

Requisits previs

Els descobriments Kubernetes mitjançant kubeconfig requereixen:

  • El fitxer kubeconfig dels clústers que s’han d’escanejar, l’autenticació de Microsoft Entra del qual es delega a kubelogin
  • A cada clúster que s’ha d’escanejar, el dret de llistar els pods (rol Azure Kubernetes Service RBAC Reader)
  • Els requisits propis del mode d’autenticació triat, detallats a la secció corresponent més avall

El descobriment Kubernetes mitjançant kubeconfig escaneja els clústers Kubernetes descrits en un fitxer kubeconfig per llistar totes les imatges Docker que s’hi han desplegat. Els modes d’autenticació admesos actualment s’adrecen als clústers AKS autenticats mitjançant Microsoft Entra.

Aquest descobriment complementa el descobriment AKS: s’adreça en particular als clústers amb una audiència de Microsoft Entra personalitzada (un server-id propi del vostre registre d’aplicació, en lloc de l’audiència AKS per defecte), als quals el descobriment AKS estàndard no pot accedir. Com que el server-id es llegeix directament al fitxer kubeconfig, aquest descobriment funciona sigui quina sigui l’audiència configurada al clúster.

El descobriment requereix un joc de credencials del tipus Fitxer kubeconfig, que podeu crear des del menú Credencials desades. N’hi ha prou d’enganxar el contingut del vostre fitxer kubeconfig (que ha de contenir les seccions clusters, contexts i users) i triar el Mode d’autenticació corresponent al mètode declarat al fitxer kubeconfig per autenticar-se als vostres clústers.

Cyberwatch recorre tots els contextos definits al fitxer kubeconfig i escaneja cada clúster en què aconsegueix autenticar-se. Un context que correspon a un altre mode d’autenticació o a una credencial diferent de la configurada s’ignora, sense interrompre l’escaneig dels altres contextos.

Els fitxers kubeconfig generats per a AKS deleguen l’autenticació al binari kubelogin. Cyberwatch no executa aquest binari: llegeix el mode d’autenticació i els seus paràmetres (en particular el server-id) directament al fitxer i, després, obté el testimoni de Microsoft Entra. Per tant, no cal instal·lar kubelogin a Cyberwatch.

AKS — Service Principal

Requisits previs

  • Un joc de credencials Microsoft Azure del tipus principal de servei, creat com per als descobriments Azure, l’identificador d’aplicació (de client) i l’identificador d’inquilí del qual coincideixen amb els indicats al fitxer kubeconfig

Aquest mode és adequat per als fitxers kubeconfig en què l’usuari s’autentica mitjançant un principal de servei (Service Principal), és a dir, en què l’ordre kubelogin té la forma ... --login spn. El testimoni d’accés al clúster s’obté a partir d’aquest joc de credencials, que fa de credencial pare del fitxer kubeconfig. Aquest fitxer s’obté així:

az aks get-credentials --resource-group <resource-group> --name <cluster-name>
kubelogin convert-kubeconfig -l spn

En crear la credencial Fitxer kubeconfig, trieu el mode AKS — Service Principal i, a continuació, seleccioneu el joc de credencials Microsoft Azure al camp Credencial d’Azure.

AKS — Identitat de càrrega de treball

Requisits previs

Aquest mode és adequat per als fitxers kubeconfig en què l’usuari s’autentica mitjançant la identitat de càrrega de treball (Workload Identity) de Microsoft Entra, és a dir, en què l’ordre kubelogin té la forma ... --login workloadidentity. No cal cap secret ni cap credencial pare: Cyberwatch s’autentica amb la identitat federada dels seus propis pods. Aquest fitxer s’obté així:

az aks get-credentials --resource-group <resource-group> --name <cluster-name>
kubelogin convert-kubeconfig -l workloadidentity

En crear la credencial Fitxer kubeconfig, trieu el mode AKS — Identitat de càrrega de treball. No cal cap credencial pare: els paràmetres d’autenticació es deriven de l’entorn del pod.

Si el desplegament de Cyberwatch no està configurat amb identitat de càrrega de treball, aquest mode no es pot utilitzar: els contextos afectats s’ignoraran i s’indicaran com a tals al resultat del descobriment.

Crear el descobriment

Un cop tingueu a punt el joc de credencials, podreu crear el descobriment des del menú Descobriments fent clic al botó Afegeix i després a Kubernetes mitjançant kubeconfig a la secció Imatges Docker.

Afegir les imatges Docker descobertes

Des de la llista d’actius descoberts, podreu veure i filtrar les imatges que no tenen actius associats. Per afegir-les a Cyberwatch, podeu seleccionar les que vulgueu escanejar i fer clic a Accions en bloc > Escaneja com a imatges Docker.

L’addició a Cyberwatch de les imatges Docker descobertes recentment es pot automatitzar activant el registre automàtic des del formulari d’edició del descobriment.

El registre es tria automàticament a partir del nom de la imatge descoberta. Per exemple, una imatge example.com/library/hello utilitzarà automàticament el registre Docker example.com, sempre que s’hagi afegit com a credencial desada. Si el registre és nou, es crearà automàticament una credencial desada, que després es podrà editar manualment si cal autenticació. De vegades es pot indicar un registre preferent, però només s’utilitzarà per a les imatges descobertes en què el registre que figura al nom coincideixi amb el punt d’entrada del registre.