Rainbond结合NeuVector实践容器安全管理 _容器

前言Rainbond 是一个云原生应用管理平台，使用简单，不需要懂容器、Kubernetes和底层复杂技术，支持管理多个Kubernetes集群，和管理企业应用全生命周期。但是随着云原生时代的一点点进步，层出不穷的网络容器安全事件的出现，也是让大家对于容器安全，网络安全的重要性，有了更进一步的想法，Rainbond 为了保证用户在使用的过程中不出现类似的容器安全事件，特别适配整合了 NeuVector 。
NeuVector 是业界首个端到端的开源容器安全平台，为容器化工作负载提供企业级零信任安全的解决方案。NeuVector 可以提供实时深入的容器网络可视化、东西向容器网络监控、主动隔离和保护、容器主机安全以及容器内部安全，容器管理平台无缝集成并且实现应用级容器安全的自动化，适用于各种云环境、跨云或者本地部署等容器生产环境。
本文主要表述，基于 Rainbond 安装部署 NeuVector 容器安全平台的步骤，以及配合 Rainbond 实现生产环境中的最佳实践。
部署 NeuVectorNeuVector 有多种部署安装形式，为了更加简化安装，选用 helm 的形式进行安装，Rainbond 也是支持 helm 商店的形式，只需要在应用市场，添加一个新的商店，把 helm商店的URL 填写上即可。
准备工作「创建团队」
NeuVector 通常是安装在 neuvector 命名空间里面的，而在 Rainbond ，团队的概念则是对应 kubernetes 里命名空间，所以通过 helm 安装的时候，首先需要创建出来对应的团队，团队的英文名对应的则是该团队在集群中的命名空间，此处填写 neuvector，选择对应集群即可。

文章插图

「对接 helm 商店」
Rainbond支持基于helm直接部署应用，所以接下来对接 neuvector 官方helm仓库，后续基于Helm商店部署 neuvector 即可，在应用市场页面，点击添加商店，选择helm商店，输入相关信息即可完成对接。
helm 商店地址：https://neuvector.github.io/neuvector-helm/

文章插图

安装在 helm 仓库找到 core 点击安装到 neuvector 团队里即可

文章插图

【Rainbond结合NeuVector实践容器安全管理】修改默认的 key 以及 value

文章插图

values 配置项：
键值 registry Docker.io tag 5.0.0-preview.1 controller.image.repository neuvector/controller.preview enforcer.image.repository neuvector/enforcer.preview manager.image.repository neuvector/manager.preview cve.scanner.image.repository neuvector/scanner.preview cve.updater.image.repository neuvector/updater.preview manager.svc.type ClusterIP
安装完成以后，确认 pod 的状态为 Running

文章插图

neuvector 提供了可视化操作的界面，安装过程将自动创建Service，通过Rainbond平台第三方组件的形式可将 neuvector 的访问端口暴露出来。

文章插图

以下为需要进行配置的选项
组件名称 neuvector-web 组件英文名称 neuvector 组件注册方式 kubernetes Namespace neuvector Service neuvector-service-webui
添加完成以后，需要添加并打开对外访问的端口（8443），默认用户名以及密码均为 admin/admin

文章插图

注意：访问的时候，需要通过 https 的形式进行访问，至此 neuvector 安装完毕

文章插图

NeuVector 最佳实践网络流量监视治理NeuVector 提供的网络活动，可以清楚的查看每一个 pod 之间的网络流量动向。以及对应的端口，规则，更加清晰明了的查看走向。
蓝色线代表正常的流向是记录在学习模式里的。
黄色的流向则是记录在监视模式下，需要我们手动进行审阅规则，决定是否通过这个流量。
红色则代表是记录在保护模式下，被拒绝的动向，也可通过规则进行避免。