Mode privilégié vs mode non privilégié

L'intégration Kubernetes de New Relic s'exécute en mode privilégié par défaut, permettant à l'agent Infrastructure (s'exécutant en tant que sidecar DaemonSet) d'accéder directement aux informations de l'hôte sous-jacent.

Bien que cela fournisse la télémétrie la plus complète, certaines politiques de sécurité (telles que les Pod Security Standards ou les SCC OpenShift) peuvent exiger l'exécution de charges de travail en mode non privilégié.

Pourquoi le mode privilégié est requis

L'agent New Relic Infrastructure est inclus dans le pod Kubelet et nécessite un accès de bas niveau au système d'exploitation du nœud pour collecter des métriques système approfondies.

Bien que la valeur par défaut pour privileged dans la bibliothèque commune soit false, ce chart la définit à true par défaut (voir values.yaml) pour garantir que l'agent puisse :

• Lire les systèmes de fichiers /proc et /sys de l'hôte.
• Collectez des statistiques précises sur le processeur, la mémoire, le stockage et le réseau de l'hôte sous-jacent.
• Collectez des listes complètes de processus et des métadonnées qui corrèlent la santé de l'infrastructure avec vos objets Kubernetes.

Exécution en mode non privilégié

Si la politique de sécurité de votre cluster n'autorise pas privileged dans le contexte de sécurité de vos pods, vous pouvez le désactiver en définissant privileged sur false.

Impact sur la collecte de données

Lorsqu'il est non privilégié, l'Agent d'infrastructure ne peut pas voir l'utilisation des ressources de l'hôte. Vous perdrez l'accès aux métriques d'hôte standard, notamment :

• SystemSample : CPU, mémoire et charges moyennes au niveau de l'hôte.
• StorageSample : Utilisation du disque et E/S pour le système de fichiers du nœud.
• NetworkSample : Statistiques de l'interface réseau physique.
• ProcessSample : Données sur les processus s'exécutant en dehors du conteneur New Relic.

Pour une liste détaillée des attributs et métriques indisponibles en mode non privilégié, veuillez consulter la documentation sur les modes d'exécution de l'agent Linux.

Comment le configurer

Mettez à jour votre fichier de valeurs personnalisées pour définir l'indicateur global privilégié sur false:

global:
  privileged: false

Windows en mode non privilégié

Les conteneurs Windows standard ne peuvent pas accéder directement à l'infrastructure de l'hôte en raison de l'isolation des conteneurs. Les conteneurs HostProcess pourraient fournir cet accès mais introduisent des risques de sécurité supplémentaires et ne sont actuellement pas utilisés par l'intégration Kubernetes New Relic. Par conséquent, les DaemonSets Windows s'exécutent uniquement en mode non privilégié ; le mode privilégié n'est pas pris en charge pour les nœuds Windows.

Pour plus de détails sur les métriques collectées dans ce mode, consultez Limites de l'intégration Kubernetes pour Windows.