14 SUSE Security #

Gerente. Um contêiner sem estado que apresenta o console baseado na Web. Normalmente, apenas um é necessário e ele pode ser executado em qualquer lugar. A falha do Gerente não afeta nenhuma das operações do controller ou enforcer. No entanto, certas notificações (eventos) e dados de conexão recentes são armazenados em cache na memória pelo Gerente, portanto, a visualização deles seria afetada.

Controller. O ‘plano de controle’ para o SUSE Security deve ser implantado em uma configuração de HA, para que a configuração não seja perdida em uma falha de nó. Eles podem ser executados em qualquer lugar, embora os clientes frequentemente escolham colocá-los em nós de ‘gerenciamento’, master ou infra devido à sua criticidade.

Enforcer. Este contêiner é implantado como um DaemonSet, portanto, um Enforcer está em cada nó a ser protegido. Normalmente é implantado em cada nó de trabalho, mas o agendamento pode ser habilitado para nós master e infra para implantar lá também. Nota: Se o Enforcer não estiver em um nó de cluster e as conexões vierem de um pod nesse nó, o SUSE Security os rotula como cargas de trabalho 'não gerenciadas'.

Scanner. Realiza a verificação de vulnerabilidade usando o banco de dados CVE incorporado, conforme direcionado pelo Controller. Vários scanners podem ser implantados para aumentar a capacidade de verificação. Os scanners podem ser executados em qualquer lugar, mas geralmente são executados nos nós onde os controllers são executados. Veja abaixo as considerações de dimensionamento dos nós do scanner. Um scanner também pode ser invocado independentemente quando usado para verificação na fase de compilação, por exemplo, dentro de um pipeline que aciona uma verificação, recupera os resultados e interrompe o scanner. O scanner contém o banco de dados CVE mais recente, portanto, deve ser atualizado diariamente.

Updater. O atualizador aciona uma atualização do scanner por meio de um cron job do Kubernetes quando uma atualização do banco de dados CVE é desejada. Certifique-se de configurar isso para o seu ambiente.