#Использование Scan

Scan — это ресурс для запуска и управления одним сканированием соответствия для одного профиля.

#Когда использовать Scan

Используйте Scan, когда необходимо:

• запустить один профиль отдельно
• быстро проверить одну цель без создания ресурса batch
• управлять выполнением напрямую для одной базовой линии соответствия
• запустить автономное сканирование ОС, например stig-os-microos

Используйте Using ScanSuite, если нужно управлять несколькими профилями одновременно или планировать повторяющиеся запуски.

#Пример базового Scan

apiVersion: compliance.security.alauda.io/v1alpha1
kind: Scan
metadata:
  name: cis-controlplane-scan
  namespace: compliance-system
spec:
  profile: cis-k8s-controlplane
  scanType: node
  nodeScopeStrategy: auto
  targetNodeRoles:
    - control-plane
  maxHistoricalResults: 3

#Пример сканирования ОС

apiVersion: compliance.security.alauda.io/v1alpha1
kind: Scan
metadata:
  name: os-scan
  namespace: compliance-system
spec:
  profile: stig-os-microos
  scanType: node

#Параметры Scan

В следующей таблице описаны основные параметры ресурса Scan:

#Параметры доставки отчетов

Если настроен spec.reportDelivery, для доставки по электронной почте используются следующие поля:

#Примечания по выбору узлов

Для Scan поля выбора узлов и планирования настраиваются непосредственно в spec.

Подробное поведение scanType, nodeScopeStrategy, targetNodeRoles и nodeSelector описано в Node Selection and Scheduling.

Важные замечания:

• Сканирование ОС требует scanType: node.
• CIS поддерживает только scanType: node; platform и all не поддерживаются, так как kube-bench не поддерживает выбор узлов на уровне правил.
• STIG поддерживает platform, node и all.

#Аннотации Scan

Следующая аннотация может использоваться для управления выполнением Scan:

#Мониторинг результатов Scan

Чтобы проверить статус и результаты Scan:

# Проверить один Scan
kubectl get scan os-scan -n compliance-system -o wide

# Проверить все Scan
kubectl get scan -n compliance-system -o wide