红帽全球峰会2.3. 安全的集群服务
安全集群服务包含以下组件：
- Sensor
- 准入控制器
- Collector
- scanner （可选）
- 扫描程序 V4 （可选）
如果使用 Web 代理或防火墙，您必须确保安全集群和 Central 可以在 HTTPS 端口 443 中进行通信。
2.3.1. Sensor
Sensor 监控 Kubernetes 和 OpenShift Container Platform 集群。这些服务目前在单个部署中进行部署，它处理与 Kubernetes API 的交互，并与其他 Red Hat Advanced Cluster Security for Kubernetes 组件协调。
CPU 和内存要求
下表列出了在安全集群中安装并运行 sensor 所需的最小 CPU 和内存值。
| Sensor | CPU | 内存 |
|---|---|---|
| Request（请求） | 2 个内核 | 4 GiB |
| 限制 | 4 个核 | 8 GiB |
2.3.2. 准入控制器
Admission 控制器可防止用户创建违反您配置策略的工作负载。
CPU 和内存要求
默认情况下，准入控制服务运行 3 个副本。下表列出了每个副本的请求和限制。
| 准入控制器 | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.05 个内核 | 100 MiB |
| 限制 | 0.5 个内核 | 500 MiB |
2.3.3. Collector
收集器将安全集群中每个节点的运行时活动监控为 DaemonSet。它连接到 Sensor 来报告此信息。收集器 Pod 有三个容器。第一个容器是收集器，它监控和报告节点上的运行时活动。另外两个是 compliance 和 node-inventory。
集合要求
要使用 CORE_BPF 集合方法，基本内核必须支持 BTF，并且 BTF 文件必须可供收集器使用。通常，内核版本必须高于 5.8 （适用于 RHEL 节点的4.18）和 CONFIG_DEBUG_INFO_BTF 配置选项必须被设置。
收集器在以下列表中显示的标准位置查找 BTF 文件：
例 2.1. BTF 文件位置
/sys/kernel/btf/vmlinux /boot/vmlinux-<kernel-version> /lib/modules/<kernel-version>/vmlinux-<kernel-version> /lib/modules/<kernel-version>/build/vmlinux /usr/lib/modules/<kernel-version>/kernel/vmlinux /usr/lib/debug/boot/vmlinux-<kernel-version> /usr/lib/debug/boot/vmlinux-<kernel-version>.debug /usr/lib/debug/lib/modules/<kernel-version>/vmlinux
如果存在这些文件，则内核可能会支持 BTF，CORE_BPF 是可配置的。
CPU 和内存要求
默认情况下，收集器 Pod 运行 3 个容器。下表列出了每个容器的请求和限值，以及每个收集器 Pod 的总数。
收集器容器
| 类型 | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.06 内核 | 320 MiB |
| 限制 | 0.9 个内核 | 1000 MiB |
Compliance 容器
| 类型 | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.01 个内核 | 10 MiB |
| 限制 | 1 个内核 | 2000 MiB |
node-inventory 容器
| 类型 | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.01 个内核 | 10 MiB |
| 限制 | 1 个内核 | 500 MiB |
收集器 pod 总数要求
| 类型 | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.07 个内核 | 340 MiB |
| 限制 | 2.75 个内核 | 3500 MiB |
2.3.4. 扫描程序
CPU 和内存要求
此表中的要求基于 3 个副本的默认值。
| StackRox Scanner | CPU | 内存 |
|---|---|---|
| Request（请求） | 3 个内核 | 4500 MiB |
| 限制 | 6 个内核 | 12 GiB |
StackRox Scanner 需要 Scanner DB (PostgreSQL 15)存储数据。下表列出了安装和运行 Scanner DB 所需的最小内存和存储值。
| 扫描程序数据库（Scanner DB） | CPU | 内存 |
|---|---|---|
| Request（请求） | 0.2 个内核 | 512 MiB |
| 限制 | 2 个内核 | 4 GiB |
2.3.5. scanner V4
扫描程序 V4 是可选的。如果在安全集群中安装 Scanner V4，则应用以下要求。
CPU、内存和存储要求
scanner V4 Indexer
此表中的要求基于 2 个副本的默认值。
| scanner V4 Indexer | CPU | 内存 |
|---|---|---|
| Request（请求） | 2 个内核 | 3000 MiB |
| 限制 | 4 个核 | 6 GiB |
Scanner V4 DB
扫描程序 V4 需要 Scanner V4 DB (PostgreSQL 15)来存储数据。下表列出了安装和运行 Scanner V4 DB 所需的最小 CPU、内存和存储值。对于 Scanner V4 DB，不需要 PVC，但强烈建议这样做，因为它可确保最佳性能。
| Scanner V4 DB | CPU | 内存 | 存储 |
|---|---|---|---|
| Request（请求） | 0.2 个内核 | 2 GiB | 10 GiB |
| 限制 | 2 个内核 | 4 GiB | 10 GiB |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}