Helmチャートを使用してClaude Compliance Collectorをデプロイする

手順

1. 専用のネームスペースを選択して作成してください。

   export NS=compliance
   kubectl create namespace "$NS"

2. 2つのAPIキーを含むKubernetes Secretを作成してください。
   このSecretが既に存在しない場合、事前確認でインストールがすぐに失敗するため、インストール前に作成してください。デフォルトでは、チャートはcompliance-collector-secretsという名前のSecretを期待し、anthropic_compliance_keyとvision_one_aiguard_keyという2つのキーを持ちます。GitOps (例えばSOPSやsealed-secrets) を通じてシークレットを管理する場合、この形の暗号化されたマニフェストをコミットし、Helmリリースが調整される前にGitOpsエンジンに適用させてください。

   apiVersion: v1
   kind: Secret
   metadata:
     name: compliance-collector-secrets
     namespace: compliance
   type: Opaque
   stringData:
     anthropic_compliance_key: "sk-ant-api01-REPLACE-ME"
     vision_one_aiguard_key:   "V1-REPLACE-ME"

   シークレットが両方のキーで入力されていることを確認してください。

   kubectl -n "$NS" get secret compliance-collector-secrets \
     -o jsonpath='{.data.anthropic_compliance_key}{"\n"}{.data.vision_one_aiguard_key}{"\n"}' \
     | while read v; do [ -n "$v" ] && echo "key present" || echo "KEY MISSING"; done

   注意 異なるシークレットまたはキー名を使用しますか?値ファイルでexistingSecret.nameとexistingSecret.keys.anthropic / existingSecret.keys.visionOneをオーバーライドしてください。Helmチャート値レファレンスを参照してください。キー名は、/var/run/secrets/compliance-collector/に読み取り専用でマウントされたポッド内のディスク上のファイル名としても使用されます。

3. 値ファイルを準備してください。
   aiGuardUrlのみが必要です。他のすべては動作するデフォルトがあります。簡単なインストールを超える場合は、長い--setチェーンではなく、値ファイルを使用してください。values.yamlを作成してください。

   aiGuardUrl: https://api.xdr.trendmicro.com/v3.0/aiSecurity/applyGuardrails
   
   schedule:
     cron: "0 0/4 * * *"     # hour/interval only — the MINUTE field is ignored
     timeZone: "UTC"
   scheduleOffsetMinutes: 0  # fire minute AND scan-window anchor (0-57); stagger tenants here
   
   existingSecret:
     name: compliance-collector-secrets

   調整可能な値の完全なセットとそのデフォルトおよび制約については、Helmチャート値レファレンスを参照してください。

   重要 リリースされたOCIチャートは、リリース時にコンテナイメージ (タグとダイジェスト) をすでに固定しています。通常のインストールではimage.*を設定しないでください。ミラーリングされたイメージやローカルでビルドされたイメージを使用する場合のみ設定してください。

4. 値を検証し、クラスターに触れることなくインストールをプレビューします。

   helm install collector \
     oci://public.ecr.aws/trendmicro/compliance-collector-chart \
     --version 1.0.0 -n "$NS" -f values.yaml --dry-run=server

   サーバ側のドライランを使用して (示されているように)、Secretの事前確認を実行します。クラスターやSecretが利用できない純粋なオフラインレンダリングの場合は、helm templateと--set existingSecret.skipPreflightCheck=trueを使用してください。

   重要 existingSecret.skipPreflightCheck=trueは実際のインストールでは設定しないでください。これはオフラインレンダリング専用です。

5. チャートをインストールする:

   helm install collector \
     oci://public.ecr.aws/trendmicro/compliance-collector-chart \
     --version 1.0.0 \
     --namespace "$NS" \
     -f values.yaml

   ポストインストールノートには、CronJobの名前、スケジュール、イメージ、およびリリースのための正確な手動実行コマンドが反映されます。

   注意 リリース名collectorで、生成されたCronJobはcollector-compliance-collectorと名付けられます。他の管理コマンドを実行する前に、kubectl -n "$NS" get cronjobで実際の名前を確認してください。

6. 配信を確認します:

   helm -n "$NS" status collector
   kubectl -n "$NS" get cronjob
   kubectl -n "$NS" get cronjob -o jsonpath='{.items[0].spec.schedule}{"\n"}'
   kubectl -n "$NS" get serviceaccount

   SUSPEND=Falseとスケジュール分がscheduleOffsetMinutesの値に等しいCronJobが1つ表示されるはずです。最初のスケジュールが実行されるまでポッドは実行されませんが、手動でトリガーすることもできます。