Helm을 사용하는 Snyk 컨트롤러 선택적 설치 단계

설치 단계는 환경에 맞게 Snyk 컨트롤러를 구성하는 방법에 따라 달라집니다. 사용자의 상황에 맞는 단계를 따르십시오.

자체 서명 또는 추가 인증서가 있는 레지스트리 사용

레지스트리가 자체 서명 또는 기타 추가 인증서를 사용하는 경우, Snyk 모니터에서 이를 사용할 수 있도록 해야 합니다. 이를 위해 먼저 .crt, .cert, .key 파일을 디렉토리에 배치하고 ConfigMap을 생성합니다:

kubectl create configmap snyk-monitor-certs \
        -n snyk-monitor --from-file=<path_to_certs_folder>

안전하지 않은 컨테이너 레지스트리 또는 자격 없는 이미지를 사용하는 레지스트리 사용

안전하지 않은 레지스트리를 사용하거나 레지스트리가 자격 없는 이미지를 사용하는 경우, registries.conf 파일을 제공할 수 있습니다.

[[registry]]
location = "internal-registry-for-example.net/bar"
insecure = true

형식 및 추가 예시는 GitHub 컨테이너 이미지 문서를 참조하십시오. 파일을 생성한 후 다음 ConfigMap을 생성하는 데 사용할 수 있습니다:

kubectl create configmap snyk-monitor-registries-conf \
        -n snyk-monitor \
        --from-file=<path_to_registries_conf_file>

Snyk으로의 아웃바운드 연결에 프록시 사용

Snyk으로의 아웃바운드 연결에 프록시를 사용하는 경우, 통합을 구성하여 해당 프록시를 사용하도록 해야 합니다. 프록시를 구성하려면 Helm 차트에 제공된 다음 값을 설정하십시오:

• http_proxy

• https_proxy

• no_proxy

예:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set clusterName="Production cluster" \
             --set https_proxy=http://192.168.99.100:8080

통합은 no_proxy 값에 CIDR 주소 범위 또는 와일드카드를 지원하지 않습니다. 정확히 일치하는 항목만 지원됩니다.

로깅 상세 수준 변경

로깅 상세 수준을 변경할 수 있습니다. 유효한 수준은 INFO, WARN, ERROR, DEBUG입니다. Snyk은 기본적으로 INFO를 사용합니다. 로깅 상세 수준을 변경하려면 다음 명령을 사용하십시오:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set clusterName="Production cluster" \
             --set log_level="WARN"

Pod Security Policy 활성화

기본적으로 컨트롤러는 Pod Security Policy 없이 실행됩니다. 설정을 전달하여 활성화할 수 있습니다:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set clusterName="Production cluster" \
             --set psp.enabled=true

이름을 지정하여 기존 Pod Security Policy를 재사용할 수 있습니다. 이름을 지정하지 않으면 새 정책이 자동으로 생성됩니다.

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set clusterName="Production cluster" \
             --set psp.enabled=true \
             --set psp.name=something

PersistentVolumeClaim (PVC)으로 Snyk 컨트롤러 구성

Snyk 컨트롤러를 구성하여 기본 emptyDir 저장 매체 대신 PersistentVolumeClaim (PVC)을 사용하여 임시로 이미지를 가져올 수 있습니다.

PVC를 생성하려면 Snyk 차트에서 제공하는 Helm 템플릿 또는 이미 프로비저닝된 PVC를 사용할 수 있습니다.

PVC를 제어하려면 다음 플래그를 사용하십시오:

• pvc.enabled - Helm 차트가 emptyDir 대신 PVC를 사용하도록 지시합니다.

• pvc.create - PVC를 생성합니다. 이는 처음 프로비저닝할 때 유용합니다.

• pvc.storageClassName - PVC의 StorageClass를 제어합니다.

• pvc.name - Kubernetes와 함께 사용할 PVC의 이름입니다.

예를 들어, 설치 시 다음 명령을 실행하여 PVC를 프로비저닝하고 생성할 수 있습니다:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set pvc.enabled=true \
             --set pvc.create=true \
             --set pvc.name="snyk-monitor-pvc"

후속 업그레이드 시 PVC가 이미 존재하므로 pvc.create 플래그를 제거할 수 있습니다:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set pvc.enabled=true \
             --set pvc.name="snyk-monitor-pvc"

특정 네임스페이스를 제외하도록 Snyk 컨트롤러 구성

기본적으로 Snyk은 Kubernetes 내부에 있다고 판단되는 특정 네임스페이스 스캔을 무시합니다. 전체 목록은 제외된 네임스페이스 구성을 참조하십시오.\ \ Snyk을 사용하면 제외된 네임스페이스를 구성하여 기본값을 변경할 수 있습니다.

excludedNamespaces 설정을 사용하여 제외할 네임스페이스 목록을 직접 추가하면 Snyk은 기본 설정을 재정의하고 사용자가 제공하는 네임스페이스 목록을 사용합니다.

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set excludedNamespaces="{kube-node-lease,local-path-storage,some_namespace}"

Snyk 컨트롤러 리소스 구성

컨트롤러를 배포하는 데 더 많은 리소스가 필요한 경우, --set 플래그를 사용하여 요청 및 제한에 대한 Helm 차트 기본값을 구성하십시오.

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set requests."ephemeral-storage"="50Gi"
             --set limits."ephemeral-storage"="50Gi"

Snyk 컨트롤러 워커 수 구성

--set 플래그를 사용하여 워커 수(XX)를 조정할 수 있습니다.

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set workers.count="XX"

Snyk 컨트롤러 CPU 구성

컨트롤러를 배포하는 데 더 많거나 적은 CPU가 필요한 경우, --set 플래그를 사용하여 요청(X) 및 제한(Y)에 대한 HelmChart 기본값을 구성하십시오.

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set requests.cpu="X"
             --set limits.cpu="Y"

Snyk 컨트롤러 initContainers 설정 구성

기본 emptyDir 저장소 대신 PersistentVolumeClaim (PVC)을 사용하는 경우, 볼륨 권한을 프로비저닝해야 합니다. 이를 위해 --set 플래그를 사용하여 Helm 차트에서 initContainers를 비활성화하십시오:

helm upgrade --install snyk-monitor snyk-charts/snyk-monitor \
             --namespace snyk-monitor \
             --set initContainers.enabled = false

Openshift 플랫폼의 경우 initContainers 설정은 필수입니다.