Systemvoraussetzungen für Container Security in Kubernetes

Ansichten:

Bevor Sie Container Security bereitstellen, stellen Sie sicher, dass Ihre Kubernetes-Cluster die minimalen Systemvoraussetzungen sowie spezifische Helm- und Netzwerkrichtlinienanforderungen erfüllen.

Hinweis

Container Security unterstützt jede Kubernetes-Version bis zu ihrem offiziellen End-of-Life (EOL).
Container Security unterstützt jede Helm-Version bis zu 6 Monate. Die neuesten drei Versionen werden immer unterstützt.

Systemvoraussetzungen

Funktionen aktiviert	Min. vCPU-Anforderung	Maximale vCPU-Grenze	Min. Speicheranforderung	Maximales Speicherlimit
Standardfunktionen	0,6 vCPU	3,4 vCPU	572 MB	4 GB
Laufzeitsicherheit aktiviert	06 vCPU + 0,2 vCPU pro Knoten	3,4 vCPU + 2 vCPU pro Knoten	572 MB + 768 MB pro Knoten	4GB + 2GB pro Knoten
Laufzeitscannen aktiviert	0,7 vCPU	4,4 vCPU	592 MB	5GB
Beide Funktionen aktiviert	0,7 vCPU + 0,2 vCPU pro Knoten	4,4 vCPU + 2 vCPU pro Knoten	592 MB + 768 MB pro Knoten	5 GB + 2 GB pro Knoten

Hilfe und Netzwerk-Richtlinienanforderungen

Voraussetzung

Beschreibung

Helm 3 (oder höher)

Container Security-Komponenten verwenden den helm-Paketmanager für Kubernetes.

Unterstützung der Netzwerkrichtlinie

Container Security kontinuierliche Compliance erzwingt Richtlinien, indem Kubernetes-Netzwerkrichtlinien genutzt werden, um Isolationsminderungen durchzuführen. Netzwerkrichtlinien werden von einem Netzwerk-Plugin implementiert.

Amazon Elastic Kubernetes Service (Amazon EKS) : Calico-Netzwerk-Plugin
OpenShift-Versionen 4.12 und später: OpenShift SDN

Hinweis

Stellen Sie sicher, dass Ihre Umgebung Container Security unterstützt, bevor Sie zusammen mit OpenShift bereitstellen.
Azure Kubernetes Service (AKS): Azure-Netzwerkrichtlinien oder Calico.
Google Kubernetes Engine (GKE): Netzwerk-Policy enforcement

Hinweis

Bevor Sie ein Amazon EKS Fargate-Pod verbinden, stellen Sie sicher, dass der Container die zusätzlichen Systemvoraussetzungen für EKS Fargate-Bereitstellungen erfüllt.

Wenn Sie Container Security in einer Red Hat OpenShift-Umgebung ausführen, wird die Netzwerktrennung nur für Pods unterstützt, deren Sicherheitskontext durch die SecurityContextConstraint des Aufsichtskontrollers akzeptiert wird. Wenn Sie Container Security erlauben möchten, Pods zu isolieren, die standardmäßig nicht erlaubt sind, können Sie die Standardeinstellungen mit der overrides.yaml-Datei überschreiben.

Wichtig

Die Netzwerkrichtlinie mit matchLabels trendmicro-cloud-one: isolate muss in jedem Anwendungs-Namespace vorhanden sein, um eine ordnungsgemäße Isolationsminderung durchzuführen.