Modo privilegiado vs. no privilegiado

La integración de Kubernetes de New Relic se ejecuta en modo privilegiado de forma predeterminada, lo que permite al agente de infraestructura (que se ejecuta como un sidecar de DaemonSet) acceder directamente a la información del host subyacente.

Si bien esto proporciona la telemetría más completa, algunas políticas de seguridad (como Pod Security Standards o las SCC de OpenShift) pueden requerir que ejecute cargas de trabajo en modo sin privilegios.

Por qué es necesario el modo privilegiado

El agente de infraestructura de New Relic se incluye en el pod de Kubelet y requiere acceso de bajo nivel al sistema operativo del nodo para recopilar métricas detalladas del sistema.

Aunque el valor predeterminado para privileged en la biblioteca común es false, este chart lo establece en true por defecto (consulte values.yaml) para garantizar que el agente pueda:

• Leer los sistemas de archivos /proc y /sys del host.
• Recopile estadísticas precisas de CPU, memoria, almacenamiento y red para el host subyacente.
• Recopile listas completas de procesos y metadatos que correlacionan la salud de la infraestructura con sus objetos de Kubernetes.

Ejecutándose en modo sin privilegios

Si la política de seguridad de su clúster no permite privileged en el contexto de seguridad de sus pods, puede deshabilitarlo configurando privileged en false.

Impacto en la recopilación de datos

Cuando no tiene privilegios, el agente de infraestructura no puede ver el uso de recursos del host. Perderá el acceso a las métricas estándar del host, incluyendo:

• SystemSample: CPU, memoria y promedios de carga a nivel de host.
• StorageSample: Uso de disco y E/S para el sistema de archivos del nodo.
• NetworkSample: Estadísticas de la interfaz de red física.
• ProcessSample: Datos sobre los procesos que se ejecutan fuera del contenedor de New Relic.

Para obtener una lista detallada de qué atributos y métricas no están disponibles en el modo sin privilegios, consulta la documentación de los modos de ejecución del agente de Linux.

Cómo configurarlo

Actualice su archivo de valores personalizados para establecer el indicador global de privilegios en false:

global:
  privileged: false

Windows en modo sin privilegios

Los contenedores estándar de Windows no pueden acceder directamente a la infraestructura del host debido al aislamiento del contenedor. Los contenedores HostProcess podrían proporcionar este acceso, pero introducen riesgos de seguridad adicionales y actualmente no son utilizados por la integración de Kubernetes de New Relic. Por lo tanto, los DaemonSets de Windows se ejecutan solo en modo sin privilegios; el modo privilegiado no se admite en los nodos de Windows.

Para obtener más detalles sobre qué métricas se recopilan en este modo, consulta Limitaciones de la integración de Kubernetes para Windows.