集群巡檢
更新時間 2024-12-31 16:00:54
最近更新時間: 2024-12-31 16:00:54
分享文章
本節介紹了集群巡檢的用戶指南。
前提條件
1、已創建容器集群,具體操作請參見創建集群 。
2、集群已安裝cube-eye插件,具體操作請參考安裝插件 。
操作步驟
配置集群巡檢
1、登陸云容器引擎控制臺, 點擊左側導航欄中的集群,進入集群列表頁。
2、在集群列表中點擊需要配置巡檢的集群,進入集群管理頁面。
3、在集群管理頁面導航欄中選擇運維管理 > 集群巡檢 > 添加 ,進入集群巡檢配置頁面。
4、在集群巡檢配置頁面,設置定時規則 ,閱讀注意事項后選擇我已知曉并同意 ,然后點擊確定。

查看巡檢結果
1、登陸云容器引擎控制臺, 點擊左側導航欄中的集群,進入集群列表頁。
2、在集群列表中點擊需要查看巡檢結果的集群,進入集群管理頁。
3、在集群管理頁面導航欄中選擇運維管理 > 集群巡檢 ,選擇需要查看的報告,點擊查看詳情。
4、報告詳情頁會展示集群的風險項,可以對風險項的級別、風險類型、命名空間進行篩選,每個風險項都會給出異常影響及解決方案。

巡檢項列表
| 檢查項 | 描述 | 級別 |
|---|---|---|
| PrivilegeEscalationAllowed | 允許特權升級 | 緊急 |
| CanImpersonateUser | role/clusterrole 有偽裝成其他用戶權限 | 警告 |
| CanDeleteResources | role/clusterrole 有刪除 kubernetes 資源權限 | 警告 |
| CanModifyWorkloads | role/clusterrole 有修改 kubernetes 資源權限 | 警告 |
| NoCPULimits | 資源沒有設置 CPU 使用限制 | 警告 |
| NoCPURequests | 資源沒有設置預留 CPU | 警告 |
| HighRiskCapabilities | 開啟了高危功能,例如 ALL/SYS_ADMIN/NET_ADMIN | 緊急 |
| HostIPCAllowed | 開啟了主機 IPC | 緊急 |
| HostNetworkAllowed | 開啟了主機網絡 | 緊急 |
| HostPIDAllowed | 開啟了主機PID | 緊急 |
| HostPortAllowed | 開啟了主機端口 | 緊急 |
| ImagePullPolicyNotAlways | 鏡像拉取策略不是 always | 警告 |
| ImageTagIsLatest | 鏡像標簽是 latest | 警告 |
| ImageTagMiss | 鏡像沒有標簽 | 緊急 |
| InsecureCapabilities | 開啟了不安全的功能,例如 KILL/SYS_CHROOT/CHOWN | 警告 |
| NoLivenessProbe | 沒有設置存活狀態檢查 | 警告 |
| NoMemoryLimits | 資源沒有設置內存使用限制 | 警告 |
| NoMemoryRequests | 資源沒有設置預留內存 | 警告 |
| NoPriorityClassName | 沒有設置資源調度優先級 | 通知 |
| PrivilegedAllowed | 以特權模式運行資源 | 緊急 |
| NoReadinessProbe | 沒有設置就緒狀態檢查 | 警告 |
| NotReadOnlyRootFilesystem | 沒有設置根文件系統為只讀 | 警告 |
| NotRunAsNonRoot | 沒有設置禁止以 root 用戶啟動進程 | 警告 |
| CertificateExpiredPeriod | 將檢查 ApiServer 證書的到期日期少于30天 | 緊急 |
| EventAudit | 事件檢查 | 警告 |
| NodeStatus | 節點狀態檢查 | 警告 |
| DockerStatus | docker 狀態檢查 | 警告 |
| KubeletStatus | kubelet 狀態檢查 | 警告 |