次の図は、クラスタ環境内のコンポーネントを示し、データフローを説明し、各コンポーネントがクラスタ内でどのように使用されるかを説明します。
次の表は、Container SecurityのKubernetesクラスターを構成するコンポーネントの簡単な説明を提供します。
 |
注意ファイアウォールまたはネットワークポリシーの許可リストにポートを追加します。これにより、Container Securityがクラスターからバックエンドにコンポーネント情報を投稿し、健康チェックやメトリクスのような機能を実装し、クラスター内のコンポーネント間の通信を必要とする機能を実現できます。
|
デフォルトコンポーネント
|
コンポーネント名
|
説明
|
Pod 名
|
コンテナ名
|
ポート | ||||
|
使用コントローラ
|
Usage Controller は、Cloud One の請求およびインストールされている helm バージョンの決定に使用される使用データを定期的に Reports
します。
|
trendmicro-usage-controller-xxxxxxxxxx-xxxxx
|
|
|
||||
|
アドミッションコントローラ
|
Admission Controller は Kubernetes を検証し、デプロイメントポリシーに基づいてブロックまたはログアクションを実行するために使用されます。
|
trendmicro-admission-controller-xxxxxxxxxx-xxxxx
|
|
|
||||
|
監視コントローラー
|
オーバーサイトコントローラーコンポーネントは、継続的なポリシーに対してKubernetesリソースを繰り返しスキャンし、隔離および終了アクションを処理します。継続的なコンプライアンスポリシーの施行に使用されます。
|
trendmicro-oversight-controller-xxxxxxxxx-xxxxx
|
|
|
||||
|
Workload Operator
|
Workload Operator コンポーネントは、ランタイムスキャン機能のためにユニークな実行中のコンテナイメージを検出し、インベントリ機能のために Kubernetes
リソースデータも収集します。
|
trendmicro-workload-operator-xxxxxxxxxx-xxxxx
|
|
|||||
|
ポリシーオペレーター
|
ポリシーオペレーターは、クラスター、ポリシー、カスタムルールセットなどのContainer Securityリソースのライフサイクルを管理します。ポリシーオペレーターは、これらのリソースをVision
Oneと同期させ、認証トークンのローテーションを処理します。他のトレンドマイクロのコンポーネントは、ポリシーを取得し、緩和策の適用を要求するためにポリシーオペレーターに連絡します。
|
trendmicro-policy-operator-xxxxxxxxxx-xxxxx
|
|
|
ランタイムセキュリティコンポーネント
|
コンポーネント名
|
説明
|
Pod 名
|
コンテナ名
|
ポート | ||
|
スカウト
|
Scoutは、ランタイムセキュリティ機能を提供し、ランタイムルールを制御し、イベントの集約とアップロードを処理します。デーモンセットはノードごとにデプロイされます。
|
trendmicro-scout-xxxxx
|
|
|||
|
K8s-metacollector
|
k8s-metacollectorは、APIサーバーからさまざまなKubernetesリソースのメタデータを取得し、Falcoインスタンスのようなクラスタ内コンポーネントにメタデータを送信して、Kubernetes
APIサーバーへのパフォーマンス影響を減少させます。
|
trendmicro-metacollector-xxxxxxxxxx-xxxxx
|
|
|
||
|
fargate-injector
|
fargate-injectorコンポーネントは、EKS Fargate環境で実行されているポッドにscoutとfalcoのサイドカーコンテナを注入します。
|
trendmicro-fargate-injector
|
|
|
脆弱性スキャンコンポーネント
|
コンポーネント名
|
説明
|
Pod 名
|
コンテナ名
|
ポート | ||
|
検索マネージャ
|
Scan Manager はクラスタ内の脆弱性スキャンを管理し、スキャンジョブを開始します。
|
trendmicro-scan-manager-xxxxxxxx-xxxxx
|
|
|
||
|
スキャンジョブ
|
スキャンジョブはコンテナイメージのSBOMを生成し、Scan Managerにレポートします。このポッドはターゲットポッドの名前空間にデプロイされます。
|
trendmicro-scan-job-xxxxxxxxxx-xxxxx
|
|
不正プログラムスキャンコンポーネント
|
コンポーネント名
|
説明
|
ポッド名
|
コンテナ名
|
ポート |
|
不正プログラムスキャナー
|
不正プログラムスキャナーは、ファイルを分析するためのクラスター内不正プログラムスキャン機能を提供します。
|
トレンドマイクロ不正プログラムスキャナー-xxxxxxxxxx-xxxxx
|
|
|