Alauda Container Security
简体中文

管理部署集合

Alauda 容器安全允许您定义和管理部署集合，这些集合是基于匹配模式的资源逻辑分组。集合帮助您组织基础设施并简化配置管理。

目录

概述

Alauda 容器安全中的集合是用户定义的命名引用，使用选择规则对部署、命名空间或集群进行分组。这些规则可以基于精确匹配或正则表达式（支持 RE2 语法）。集合还可以嵌套，允许您构建复杂的层次结构。

关键点：

  • 目前集合仅适用于部署。
  • 集合用于漏洞报告。
  • 部署集合需要 PostgreSQL 数据库后端。

先决条件

要使用集合，您的账户必须具备以下权限：

  • WorkflowAdministration：读取访问权限以查看集合；写入访问权限以添加、修改或删除集合。
  • Deployment：读取或读写访问权限以查看规则如何匹配部署。

这些权限包含在 Admin 系统角色中。有关更多详细信息，请参见 RBAC 管理文档。

集合的好处

集合提供了一种灵活的方式来：

  • 按特定团队分组资源。
  • 为开发和生产环境应用不同的策略。
  • 管理跨多个命名空间或集群的分布式应用程序。
  • 高效组织生产或测试环境。

访问和管理集合

您可以通过 Alauda 容器安全门户管理集合：

  1. 导航到 平台配置 > 集合。
  2. 页面显示现有集合的列表。您可以：
    • 按名称搜索集合。
    • 以只读模式查看集合详细信息。
    • 编辑、克隆或删除集合（正在使用的集合无法删除）。
    • 创建新的部署集合。

创建部署集合

操作步骤

  1. 点击 创建集合。
  2. 输入名称和描述。
  3. 在 集合规则 中，至少执行以下一项操作：
    • 定义选择规则（见下文）。
    • 附加现有集合。
  4. 使用实时预览面板查看匹配结果。
  5. 点击 保存。

注意： 至少需要一个规则或附加集合。

定义集合规则

您可以配置规则以选择集合中的资源：

  • 部署

    • 未指定部署：忽略部署标准。
    • 名称匹配的部署：
      • 精确值：输入部署名称。
      • 正则表达式值：使用正则表达式（RE2 语法）进行模式匹配。例如，.* 匹配所有部署。
    • 标签完全匹配的部署：以 key=value 格式输入有效的 Kubernetes 标签。

  • 命名空间

    • 名称匹配的命名空间：使用精确或正则值。
    • 标签完全匹配的命名空间：以 key=value 格式输入标签。

  • 集群

    • 名称匹配的集群：使用精确或正则值。

要添加更多标准，请使用 OR 选项组合多个规则。

正则表达式示例

Alauda 容器安全支持 RE2 语法的正则表达式。以下是一些常见示例：

匹配生产集群

要匹配名称以 prod 开头的集群：

^prod.*

匹配非生产集群

要匹配名称中不包含 prod 的集群（RE2 不支持负向前瞻）：

^[^p]*(p([^r]|$|r([^o]|$|o([^d]|$))))*[^p]*$

匹配所有实体

要匹配所有部署、命名空间和集群：

  • 名称匹配的部署：.*
  • 名称匹配的命名空间：.*
  • 名称匹配的集群：.*

匹配特定部署和标签

要包括 reporting 部署、任何以 -db 结尾的部署，以及标记为 kubernetes.io/metadata.name=medical 的命名空间：

  • 名称匹配的部署：reporting
  • 或：正则值 .*-db
  • 标签完全匹配的命名空间：kubernetes.io/metadata.name=medical

附加集合

您可以通过附加现有集合来构建层次集合：

  1. 按名称过滤集合或从列表中选择。
  2. 点击 +附加 以添加所选集合。
  3. 附加的集合通过 OR 关系扩展父集合。

从访问范围迁移

在从 rocksdb 迁移到 PostgreSQL 时，现有的用于漏洞报告的访问范围将转换为集合。迁移过程创建嵌入式和根集合，以复制原始选择逻辑。

  • 嵌入式集合：模仿原始访问范围逻辑。
  • 根集合：附加嵌入式集合，并用于报告配置。

如果某个范围无法迁移（例如，使用不支持的标签选择器操作符），则会生成日志消息。仅支持 IN 操作符用于标签选择器。

API 使用

集合也可以通过 CollectionService API 进行管理。例如，CollectionService_DryRunCollection 返回与门户中的实时预览类似的结果。有关更多详细信息，请参见门户中的 API 参考。