mirror of
https://github.com/rancher/rancher-docs.git
synced 2026-09-25 04:28:15 +00:00
Merge pull request #1348 from btat/zh-extrafiles2
[zh] Remove extra integrations-in-rancher dirs/files
This commit is contained in:
Billy Tat
-30
@@ -1,30 +0,0 @@
|
||||
---
|
||||
title: 使用 Elemental 进行操作系统管理
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/elemental"/>
|
||||
</head>
|
||||
|
||||
Elemental 支持云原生主机管理。Elemental 允许你在任何位置装载任何机器，无论是在数据中心还是在边缘，并将它们无缝集成到 Kubernetes 中，同时管理你的工作流程（例如操作系统更新）。
|
||||
|
||||
## Elemental 和 Rancher
|
||||
|
||||
Rancher 中的 Elemental：
|
||||
|
||||
- 是 Kubernetes 原生的，它允许你通过 Kubernetes 集群中的 Elemental 管理操作系统。
|
||||
- 从 Kubernetes 的操作角度来看，不会造成干扰。
|
||||
- 是声明性的，并且 GitOps 友好。
|
||||
- 允许可信的、确定性的和可预测的 OCI Image-based flows。
|
||||
- 大规模运作。它支持 Fleet 规模的操作系统管理。
|
||||
|
||||
### 我什么时候应该使用 Elemental？
|
||||
|
||||
- Elemental 通过 Rancher manager 实现云原生操作系统管理。它适用于任何操作系统（例如，SLE Micro vanilla）。
|
||||
- Elemental 允许对数据中心和边缘的机器进行云原生管理。
|
||||
- Elemental 非常灵活，允许平台团队在其机器群中执行各种工作流。
|
||||
|
||||
## Elemental 和 Rancher Prime
|
||||
|
||||
- 已作为 GUI 扩展深度集成到 Rancher 中。
|
||||
- 将 Rancher 的用例扩展到操作系统，如今 SLE Micro 与 Rancher 可以完美配合。
|
||||
-15
@@ -1,15 +0,0 @@
|
||||
---
|
||||
title: 使用 Harvester 在 Kubernetes 上进行虚拟化
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/harvester"/>
|
||||
</head>
|
||||
|
||||
## Harvester
|
||||
|
||||
Harvester 是 Rancher v2.6.1 新增的功能，是基于 Kubernetes 构建的开源超融合基础架构（HCI）软件。Harvester 安装在裸金属服务器上，提供集成的虚拟化和分布式存储功能。虽然 Harvester 使用 Kubernetes 运行，但它不需要用户了解 Kubernetes 概念，这使得它更加用户友好。
|
||||
|
||||
## Harvester 与 Rancher
|
||||
|
||||
凭借 Rancher Prime 和 Harvester，IT 运维人员现在可以访问一个企业级的、易于使用的基础设施平台，该平台可以协同管理他们的虚拟机和 Kubernetes 集群。有关产品支持的更多信息，请参阅[支持矩阵](https://www.suse.com/suse-harvester/support-matrix/all-supported-versions/harvester-v1-2-0/)。通过 Rancher 虚拟化管理功能，用户可以导入和管理多个 Harvester 集群。利用 Rancher 的认证功能和 RBAC 控制来支持多租户。
|
||||
-42
@@ -1,42 +0,0 @@
|
||||
---
|
||||
title: 概述
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/harvester/overview"/>
|
||||
</head>
|
||||
|
||||
[Harvester](https://docs.harvesterhci.io/) 是 Rancher v2.6.1 新增的功能，是基于 Kubernetes 构建的开源超融合基础架构（HCI）软件。Harvester 安装在裸金属服务器上，提供集成的虚拟化和分布式存储功能。虽然 Harvester 使用 Kubernetes 运行，但它不需要用户了解 Kubernetes 概念，这使得它更加用户友好。
|
||||
|
||||
### 功能开关
|
||||
|
||||
Harvester 功能开关用于管理对 Rancher 中虚拟化管理（VM）页面的访问，用户可以直接导航到 Harvester 集群并访问 Harvester UI。Harvester 的功能开关默认启用。如需了解 Rancher 中功能开关的更多详细信息，请单击[此处](../../how-to-guides/advanced-user-guides/enable-experimental-features/enable-experimental-features.md)。
|
||||
|
||||
要导航到 Harvester 集群，请单击 **☰ > 虚拟化管理**。在 Harvester 集群页面中，单击集群以转到该 Harvester 集群的视图。
|
||||
|
||||
- 如果启用了 Harvester 功能开关，Harvester 集群将会从列出 Kubernetes 集群的任何页面或应用（例如 Fleet 和多集群应用）中过滤掉。
|
||||
|
||||
- 如果禁用了 Harvester 功能开关，并且导入了 Harvester 集群，Harvester 集群将显示在集群管理页面的 Rancher 集群列表中。仅当功能开关为关闭时，Harvester 集群才会显示在集群列表中。
|
||||
|
||||
- 集成 Harvester 后，你可以将 Harvester 集群导入 Rancher，对应的集群类型是 `Harvester`。
|
||||
|
||||
- 用户只能在虚拟化管理页面上导入 Harvester 集群。不支持在集群管理页面上导入集群，并且会出现警告，建议你返回虚拟化管理页面执行此操作。
|
||||
|
||||
### Harvester 主机驱动
|
||||
|
||||
[Harvester 主机驱动](https://docs.harvesterhci.io/v1.1/rancher/node/node-driver/)通常可用于 Rancher 中的 RKE 和 RKE2 选项。无论 Harvester 功能开关是否启用，主机驱动都是可用的。请注意，主机驱动默认处于关闭状态。用户只能通过集群管理页面在 Harvester 上创建 RKE 或 RKE2 集群。
|
||||
|
||||
Harvester 允许通过 Harvester UI 上传和显示 `.ISO` 镜像，但 Rancher UI 是不支持的。这是因为 `.ISO` 镜像通常需要额外的设置，这会干扰干净的部署（即无需用户干预），并且它们通常不用于云环境。
|
||||
|
||||
如需了解 Rancher 中主机驱动的更多详细信息，请单击[此处](../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/about-provisioning-drivers/about-provisioning-drivers#主机驱动)。
|
||||
|
||||
### 端口要求
|
||||
|
||||
Harvester 集群的端口要求可以在[此处](https://docs.harvesterhci.io/v1.1/install/requirements#networking)找到。
|
||||
|
||||
此外，其他网络注意事项如下：
|
||||
|
||||
- 请务必为 VM VLAN 网络启用物理交换机的 VLAN 中继端口。
|
||||
- 按照[此处](https://docs.harvesterhci.io/v1.1/networking/index)的网络设置指南进行操作。
|
||||
|
||||
对于其他集群（例如 K3s 和 RKE1）的其他端口要求，请参阅[这些文档](https://docs.harvesterhci.io/v1.1/install/requirements/#guest-clusters)。
|
||||
-34
@@ -1,34 +0,0 @@
|
||||
---
|
||||
title: Kubernetes 发行版
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/kubernetes-distributions"/>
|
||||
</head>
|
||||
|
||||
## K3s
|
||||
|
||||
K3s 是一款轻量级、完全兼容的 Kubernetes 发行版，专为一系列用例设计，包括边缘计算、物联网、CI/CD、开发和将 Kubernetes 嵌入到应用程序中。它将系统打包为单个二进制文件，使用 sqlite3 作为默认存储，并提供用户友好的启动器，从而简化了 Kubernetes 的管理。K3s 包括 Local Storage 和负载均衡、Helm Chart 控制器和 Traefik CNI 等基本功能。它最大限度地减少了外部依赖，并提供了精简的 Kubernetes 体验。K3s 于 2020 年 6 月作为沙箱项目捐赠给 CNCF。
|
||||
|
||||
### K3s 与 Rancher
|
||||
|
||||
- Rancher 允许在一系列平台上轻松配置 K3s，包括 Amazon EC2、DigitalOcean、Azure、vSphere 或现有服务器。
|
||||
- Kubernetes 集群的标准 Rancher 管理，包括所有概述[集群管理功能](../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup#cluster-management-capabilities-by-cluster-type)。
|
||||
|
||||
## RKE2
|
||||
|
||||
RKE2 是 Rancher 开发的一款兼容 Kubernetes 的发行版。它是专门为美国联邦政府部门的安全性和合规性而设计的。
|
||||
|
||||
RKE2 的主要特性包括:
|
||||
|
||||
1. **安全性和合规性重点**：RKE2 非常重视安全性和合规性，在“默认安全”框架下运行，适用于政府服务以及金融和医疗保健等高度监管的行业。
|
||||
1. **CIS Kubernetes Benchmark 一致性**：RKE2 经过预配置，符合 CIS Kubernetes Hardening Benchmark（目前支持 v1.23 和 v1.7），并且只需最少的手动干预。
|
||||
1. **FIPS 140-2 合规性**：RKE2 符合 FIPS 140-2 标准，使用经过 FIPS 验证的加密模块作为其组件。
|
||||
1. **嵌入式 ETCD**：RKE2 默认使用嵌入式 ETCD 作为其数据存储。这使其与标准的 Kubernetes 实践更加紧密地结合在一起，从而可以更好地与其他 Kubernetes 工具集成并降低错误配置的风险。
|
||||
1. **与上游 Kubernetes 保持一致**：RKE2 旨在与上游 Kubernetes 保持密切一致，降低在使用偏离标准 Kubernetes 实践的发行版时可能出现的不一致风险。
|
||||
1. **多重 CNI 支持**：RKE2 支持多个容器网络接口（CNI）插件，包括 Cilium、Calico 和 Multus。这对于具有各种生产设施的电信分发中心和工厂等用例至关重要。
|
||||
|
||||
## RKE2 与 Rancher
|
||||
|
||||
- Rancher 允许在一系列平台上轻松配置 RKE2，包括 Amazon EC2、DigitalOcean、Azure、vSphere 或现有服务器。
|
||||
- Kubernetes 集群的标准 Rancher 管理，包括所有概述[集群管理功能](../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup#cluster-management-capabilities-by-cluster-type)。
|
||||
-31
@@ -1,31 +0,0 @@
|
||||
---
|
||||
title: 使用 Kubewarden 进行高级策略管理
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/kubewarden"/>
|
||||
</head>
|
||||
|
||||
Kubewarden 是一个策略引擎，用于保护和帮助管理集群资源。它允许通过策略验证和更改资源请求，包括上下文感知策略和验证镜像签名。它可以在监视或强制模式下运行策略，并提供集群状态的概述。
|
||||
|
||||
Kubewarden 旨在通过启用和简化“策略即代码”来成为通用策略引擎。Kubewarden 策略被编译到 WebAssembly 中： 它们体积小（400KB~2MB），沙箱式，安全且便携。它旨在通过迎合组织中的每个人来实现通用性：
|
||||
|
||||
- 策略用户：使用 Kubernetes 自定义资源管理和声明策略，重新使用 Rego（OPA 和 Gatekeeper）中编写的现有策略。在 CI/CD 中测试群集外部的策略。
|
||||
- 策略开发人员：使用你喜欢的 Wasm 编译语言（Rego、Go、Rust、C#、Swift、Typescript 等）编写策略。重新使用你已经熟悉的工具、库和工作流的生态系统。
|
||||
- 策略分发器：策略是 OCI 工件，通过 OCI 仓库为它们提供服务，并在你的基础设施中使用行业标准，如 Software-Bill-Of-Materials 和工件签名。
|
||||
- 集群操作员：Kubewarden 是模块化的（OCI 注册表、PolicyServers、Audit Scanner、Controller）。配置你的部署以满足你的需求，隔离不同的租户。使用审核扫描程序和策略报告在集群中获取过去、当前和可能的违规行为的概述。
|
||||
- Kubewarden Integrator：将其用作编写新的 Kubewarden 模块和自定义策略的平台。
|
||||
|
||||
## Kubewarden 和 Rancher
|
||||
|
||||
Kubewarden 的上游 Helm Chart 完全集成为 Rancher 应用程序，为安装选项提供了 UI。这些 Chart 还附带了尊重 Rancher 堆栈的默认设置（例如：不监管 Rancher 系统命名空间）以及默认的 PolicyServer 和策略。用户可以访问所有 Kubewarden 功能，并可以通过与 Kubernetes API 交互（例如：使用 kubectl）手动部署 PolicyServer 和策略。
|
||||
|
||||
Kubewarden 提供了对已删除的 Kubernetes Pod 安全策略的完全替换。 Kubewarden 还通过增强其安全功能，与最新版本的 Kubernetes 引入的新 Pod Security Admission 功能进行了集成。
|
||||
|
||||
## Kubewarden 和 Rancher Prime
|
||||
|
||||
Kubewarden 的 Rancher UI 扩展将其集成到 Rancher UI 中。UI 扩展可自动安装和配置 Kubewarden 堆栈，并配置对 SUSE 维护的策略的访问。UI 扩展提供了对现成策略的策划目录的访问。使用 UI 扩展，人们可以浏览、安装和配置这些策略。
|
||||
|
||||
UI 扩展提供了 Kubewarden 堆栈组件及其行为的概述。这包括对 Kubewarden 指标和跟踪事件的访问。操作员可以了解策略对集群的影响并排查问题。
|
||||
|
||||
此外，UI 扩展还提供了 Policy Reporter UI，它可以直观地概述 Kubernetes 集群的合规性状态。通过此 UI，操作员可以快速识别所有不合规的 Kubernetes 资源，了解违规原因并采取相应行动。所有这一切都得益于 Rancher Prime 的支持。
|
||||
-15
@@ -1,15 +0,0 @@
|
||||
---
|
||||
title: 使用 Longhorn 进行云原生存储
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/longhorn"/>
|
||||
</head>
|
||||
|
||||
## Longhorn
|
||||
|
||||
Longhorn 是官方的[云原生计算基金会（CNCF）](https://cncf.io/)项目，它为 Kubernetes 提供了一个可以在任何地方运行的强大的云原生分布式存储平台。当与 Rancher 相结合使用时，Longhorn 使你可以在 Kubernetes 环境中轻松、快速且可靠地部署高可用的持久块存储。
|
||||
|
||||
## Longhorn 与 Rancher
|
||||
|
||||
凭借 Rancher Prime 和 Longhorn，用户可以通过 Rancher 应用商店一键轻松部署，并对托管集群进行生命周期管理；允许用户能够安装和升级，同时进行清空操作以实现优雅的操作。Longhorn 和 Rancher Prime 还提供了 Windows 的混合集群支持，Rancher 托管的镜像，通过 Rancher 的 UI 代理访问，以及使用 Longhorn 指标进行 Rancher 监控。
|
||||
-74
@@ -1,74 +0,0 @@
|
||||
---
|
||||
title: 概述
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/longhorn/overview"/>
|
||||
</head>
|
||||
|
||||
[Longhorn](https://longhorn.io/) 是一个轻量级、可靠且易于使用的 Kubernetes 分布式块存储系统。
|
||||
|
||||
Longhorn 是免费的开源软件。它最初由 Rancher Labs 开发，现在被开发为云原生计算基金会的沙箱项目。它可以通过 Helm、kubectl 或 Rancher UI 安装在任何 Kubernetes 集群上。有关其架构的更多信息，请参阅[此处](https://longhorn.io/docs/latest/concepts/)。
|
||||
|
||||
使用 Longhorn，你可以：
|
||||
|
||||
- 使用 Longhorn 卷作为 Kubernetes 集群中分布式有状态应用程序的持久存储
|
||||
- 将块存储分区为 Longhorn 卷，以便你可以在有或没有云提供商的情况下使用 Kubernetes 卷
|
||||
- 跨多个节点和数据中心复制块存储以提高可用性
|
||||
- 将备份数据存储在 NFS 或 AWS S3 等外部存储中
|
||||
- 创建跨集群灾难恢复卷，以便使用另一个 Kubernetes 集群中的备份快速恢复主 Kubernetes 集群中的数据
|
||||
- 计划卷的定期快照，并将定期备份调度到 NFS 或兼容 S3 的辅助存储
|
||||
- 使用备份来恢复卷
|
||||
- 在不中断持久卷的情况下升级 Longhorn
|
||||
|
||||
<figcaption>Longhorn 仪表板</figcaption>
|
||||
|
||||
|
||||
|
||||
### 使用 Rancher 安装 Longhorn
|
||||
|
||||
1. 满足所有[安装要求](https://longhorn.io/docs/latest/deploy/install/#installation-requirements)。
|
||||
1. 转到要安装 Longhorn 的集群。
|
||||
1. 单击 **Apps**。
|
||||
1. 单击 **Charts**。
|
||||
1. 单击 **Longhorn**。
|
||||
1. 可选：要自定义初始设置，请单击 **Longhorn 默认设置**并编辑配置。如需自定义设置的帮助，请参阅 [Longhorn 文档](https://longhorn.io/docs/latest/references/settings/)。
|
||||
1. 单击**安装**。
|
||||
|
||||
**结果**：Longhorn 已部署到 Kubernetes 集群中。
|
||||
|
||||
### 从 Rancher UI 访问 Longhorn
|
||||
|
||||
1. 转到安装了 Longhorn 的集群。在左侧导航菜单中，单击 **Longhorn**。
|
||||
1. 在此页面上，你可以编辑 Longhorn 管理的 Kubernetes 资源。要查看 Longhorn UI，请单击**概述**中的 **Longhorn** 按钮。
|
||||
|
||||
**结果**：你将转到 Longhorn UI，在这里你可以管理 Kubernetes 集群中的 Longhorn 卷及其副本，以及可能存在于另一个 Kubernetes 集群或 S3 中的 Longhorn 存储辅助备份。
|
||||
|
||||
### 从 Rancher UI 卸载 Longhorn
|
||||
|
||||
1. 转到安装了 Longhorn 的集群，然后单击 **Apps**。
|
||||
1. 点击**已安装的应用**。
|
||||
1. 转到 `longhorn-system` 命名空间并选中 `longhorn` 和 `longhorn-crd` 应用程序旁边的框。
|
||||
1. 单击**删除**并确认**删除**。
|
||||
|
||||
**结果**：Longhorn 已被卸载。
|
||||
|
||||
### GitHub 仓库
|
||||
|
||||
Longhorn 项目可在[此处](https://github.com/longhorn/longhorn)获取。
|
||||
|
||||
### 文档
|
||||
|
||||
Longhorn 文档在[此处](https://longhorn.io/docs/)。
|
||||
|
||||
### 架构
|
||||
|
||||
Longhorn 为每个卷创建专用的存储控制器，并在多个节点上存储的多个副本之间同步复制该卷。
|
||||
|
||||
存储控制器和副本本身是使用 Kubernetes 编排的。
|
||||
|
||||
有关其架构的更多信息，请参阅[此处](https://longhorn.io/docs/latest/concepts/)。
|
||||
|
||||
<figcaption>Longhorn 架构</figcaption>
|
||||
|
||||
|
||||
-27
@@ -1,27 +0,0 @@
|
||||
---
|
||||
title: 使用 NeuVector 实现容器安全
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/neuvector"/>
|
||||
</head>
|
||||
|
||||
NeuVector 是唯一一个100%开源、零信任的容器安全平台。在整个容器生命周期中持续扫描。清除安全路障。从一开始就制定安全策略，以最大限度地提高开发人员的灵活性。NeuVector 提供从构建到生产的漏洞和合规性扫描与管理。独特的 NeuVector 运行时保护通过七层容器防火墙保护集群内的网络连接以及集群的入口/出口。此外，NeuVector 还监视容器和主机上的进程和文件活动，以阻止未经授权的活动。
|
||||
|
||||
## NeuVector 和 Rancher
|
||||
|
||||
所有 NeuVector 功能均可通过 Rancher 进行集成部署并单点登录 NeuVector 控制台。Rancher 集群管理员能够在其集群上部署和管理 NeuVector 部署，Helm 值、configMaps、自定义资源定义（CRD）和 NeuVector 控制台轻松配置 NeuVector。
|
||||
|
||||
使用 NeuVector 和 Rancher：
|
||||
|
||||
- 部署、管理和保护多个集群。
|
||||
- 管理和报告 Rancher 工作负载和节点的漏洞和合规性结果。
|
||||
|
||||
## NeuVector Prime 和 Rancher Prime
|
||||
|
||||
Rancher Manager 的 NeuVector UI 扩展可用于并支持 Rancher Prime 和 NeuVector Prime 客户。此扩展提供：
|
||||
|
||||
- NeuVector 自动化部署，包括 Rancher Prime NeuVector 扩展仪表板。
|
||||
- 访问每个集群的重要安全信息，如关键安全事件、漏洞扫描结果和入口/出口暴露。
|
||||
- 直接对 Rancher 资源（例如节点和容器/ Pod）进行集成漏洞 (CVE) 和合规扫描。
|
||||
- 集成操作，如手动触发 Rancher 资源的扫描。
|
||||
-196
@@ -1,196 +0,0 @@
|
||||
---
|
||||
title: 概述
|
||||
---
|
||||
|
||||
<head>
|
||||
<link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/integrations-in-rancher/neuvector/overview"/>
|
||||
</head>
|
||||
|
||||
### Rancher 中的 NeuVector 集成
|
||||
|
||||
[NeuVector 5.x](https://open-docs.neuvector.com/) 是一个开源的，以容器为中心的安全应用程序，Rancher 已集成 NeuVector。NeuVector 在运行时为关键应用程序和数据提供实时的合规、可见和保护功能。NeuVector 提供具有 CIS Benchmark 和漏洞扫描的防火墙、容器进程/文件系统监控和安全审计。有关 Rancher 安全性的更多信息，请参阅[安全文档](../../reference-guides/rancher-security)。
|
||||
|
||||
NeuVector 可以通过 Helm Chart 启用。你可以在 **Apps** 或 Rancher UI 中的 **Cluster Tools** 中安装该 Chart。安装 Helm Chart 后，用户可以轻松地[在 Rancher 中部署和管理 NeuVector 集群](https://open-docs.neuvector.com/deploying/rancher#deploy-and-manage-neuvector-through-rancher-apps-marketplace)。
|
||||
|
||||
### 使用 Rancher 安装 NeuVector
|
||||
|
||||
Harvester Helm Chart 用于管理 Rancher 中 NeuVector UI 的访问，用户可以在 Rancher 中直接跳转，然后部署和管理 NeuVector 集群。
|
||||
|
||||
**通过 Apps 导航并安装 NeuVector Chart：**
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 在 Clusters 页面上，转到要部署 NeuVector 的集群，然后单击 **Explore**。
|
||||
1. 转到 **Apps > Charts**，然后从 Chart 仓库中安装 **NeuVector**。
|
||||
1. 不同的集群类型需要不同的容器运行时。配置 Helm Chart 值时，转到**容器运行时**，然后根据集群类型选择运行时。最后，再次单击**安装**。
|
||||
|
||||
以下是一些例子：
|
||||
|
||||
- RKE1：`docker`
|
||||
- K3s 和 RKE2：`k3scontainerd`
|
||||
- AKS：`containerd` 适用于 v1.19 及更高版本
|
||||
- EKS：`docker` 适用于 v1.22 及以下版本；`containerd` 适用于 v1.23 及更高版本
|
||||
- GKE：`containerd` (请参阅 [Google 文档](https://cloud.google.com/kubernetes-engine/docs/concepts/using-containerd)了解更多信息)
|
||||
|
||||
:::note
|
||||
|
||||
在安装过程中一次只能选择一个容器运行时引擎。
|
||||
|
||||
:::
|
||||
|
||||
**通过集群工具导航并安装 NeuVector Chart：**
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 在 Clusters 页面上，转到要部署 NeuVector 的集群，然后单击 **Explore**。
|
||||
1. 点击左侧导航栏底部的**集群工具**。
|
||||
1. 按照上面的步骤 4 相应地选择你的容器运行时，然后再次单击**安装**。
|
||||
|
||||
### 从 Rancher UI 访问 NeuVector
|
||||
|
||||
1. 导航到安装了 NeuVector 的集群的 Cluster Explorer。在左侧导航栏中，单击 **NeuVector**。
|
||||
1. 单击外部链接以转到 NeuVector UI。选择链接后，用户必须接受`最终用户许可协议`才能访问 NeuVector UI。
|
||||
|
||||
### 从 Rancher UI 卸载 NeuVector
|
||||
|
||||
**通过 Apps 卸载：**
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 在 **Apps** 下，点击 **Installed Apps**。
|
||||
1. 在 `cattle-neuvector-system` 下，选择 NeuVector 应用程序（如果需要，还可以选择相关的 CRD），然后单击**删除**。
|
||||
|
||||
**通过集群工具卸载：**
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 单击屏幕左下角的**集群工具**，然后单击 NeuVector Chart 下方的垃圾桶图标。如果需要，选择`删除与此应用关联的 CRD`，然后单击**删除**。
|
||||
|
||||
### GitHub 仓库
|
||||
|
||||
NeuVector 项目在[这里](https://github.com/neuvector/neuvector)。
|
||||
|
||||
### 文档
|
||||
|
||||
NeuVector 文档在[这里](https://open-docs.neuvector.com/)。
|
||||
|
||||
### 架构
|
||||
|
||||
NeuVector 安全解决方案包含四种类型的安全容器，分别是 Controller、Enforcer、Manager 和 Scanner。它还提供了一个称为 All-in-One 的特殊容器（主要用于 Docker 原生部署），能将 Controller、Enforcer 和 Manager 功能组合在一个容器中。此外，还有一个 Updater，运行该程序时会更新 CVE 数据库。
|
||||
|
||||
- **Controller：** 管理 NeuVector Enforcer 容器；为管理控制台提供 REST API。
|
||||
- **Enforcer：** 执行安全策略。
|
||||
- **Manager：** 提供一个 web-UI 和 CLI 控制台来管理 NeuVector 平台。
|
||||
- **All-in-One：** 包括 Controller、Enforcer 和 Manager。
|
||||
- **Scanner：** 对镜像、容器和节点执行漏洞和合规性扫描。
|
||||
- **Updater：** 更新 Neuvector 的 CVE 数据库（运行的时候）；重新部署 scanner pod。
|
||||
|
||||
<figcaption>**NeuVector 安全容器：**</figcaption>
|
||||
|
||||
|
||||
|
||||
<figcaption>**NeuVector 架构：**</figcaption>
|
||||
|
||||
|
||||
|
||||
要了解有关 NeuVector 架构的更多信息，请参阅[此处](https://open-docs.neuvector.com/basics/overview#architecture)。
|
||||
|
||||
### CPU 和内存分配
|
||||
|
||||
以下是默认 NeuVector Chart 安装部署的最低计算资源推荐。请注意，未设置资源限制。
|
||||
|
||||
| 容器 | CPU - 请求 | 内存 - 请求 |
|
||||
| ---------- | ----------------------------- | ----------- |
|
||||
| Controller | 3（每个控制器需要 1GB 1vCPU） | \* |
|
||||
| Enforcer | 所有节点上 (500MB .5vCPU) | 1GB |
|
||||
| Manager | 1 (500MB .5vCPU) | \* |
|
||||
| Scanner | 3 (100MB .5vCPU) | \* |
|
||||
|
||||
\* Controller、Manager 和 Scanner 容器合计至少需要 1GB 内存。
|
||||
|
||||
### 强化集群支持 - Calico 和 Canal
|
||||
|
||||
<Tabs>
|
||||
<TabItem value="RKE1">
|
||||
|
||||
- 如果 PSP 设置为 true，则所有 NeuVector 组件都是可部署的。
|
||||
|
||||
你需要为强化集群环境进行额外的配置，如下所示：
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 选择你创建的集群，并点击 **Explore**。
|
||||
1. 在左侧导航栏中，点击 **Apps**。
|
||||
1. 安装（或升级到）NeuVector 版本 `100.0.1+up2.2.2`。
|
||||
|
||||
- 在**编辑选项** > **其它配置**下，选中复选框来启用 **Pod 安全策略**（无需其他配置）：
|
||||
|
||||
|
||||
|
||||
1. 点击右下角的**安装**。
|
||||
|
||||
</TabItem>
|
||||
<TabItem value="RKE2">
|
||||
|
||||
- 如果 PSP 设置为 true，则可以部署 NeuVector 组件 Controller 和 Enforcer。
|
||||
|
||||
**仅适用于 NeuVector Chart 版本 100.0.0+up2.2.0：**
|
||||
|
||||
- 对于 Manager、Scanner 和 Updater 组件，需要进行额外的配置，如下所示：
|
||||
|
||||
```
|
||||
kubectl patch deploy neuvector-manager-pod -n cattle-neuvector-system --patch '{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}'
|
||||
kubectl patch deploy neuvector-scanner-pod -n cattle-neuvector-system --patch '{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}'
|
||||
kubectl patch cronjob neuvector-updater-pod -n cattle-neuvector-system --patch '{"spec":{"jobTemplate":{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}}}'
|
||||
```
|
||||
|
||||
<br/>
|
||||
|
||||
你需要为强化集群环境进行额外的配置。
|
||||
|
||||
> **注意：** 你必须更新 RKE2 和 K3s 强化集群中的配置，如下所示。
|
||||
|
||||
1. 单击 **☰ > 集群管理**。
|
||||
1. 选择你创建的集群，并点击 **Explore**。
|
||||
1. 在左侧导航栏中，点击 **Apps**。
|
||||
1. 安装（或升级到）NeuVector 版本 `100.0.1+up2.2.2`。
|
||||
|
||||
- 在**编辑选项** > **其它配置**下，选中复选框来启用 **Pod 安全策略**。请注意，对于 `Manager runAsUser ID`，`Scanner runAsUser ID` 和 `Updater runAsUser ID`，你还必须输入大于 `0` 的值：
|
||||
|
||||
|
||||
|
||||
1. 点击右下角的**安装**。
|
||||
|
||||
</TabItem>
|
||||
</Tabs>
|
||||
|
||||
### 启用 SELinux 的集群支持 - Calico 和 Canal
|
||||
|
||||
要在 RKE2 集群上启用 SELinux，请执行以下步骤：
|
||||
|
||||
- 如果 PSP 设置为 true，则可以部署 NeuVector 组件 Controller 和 Enforcer。
|
||||
|
||||
**仅适用于 NeuVector Chart 版本 100.0.0+up2.2.0：**
|
||||
|
||||
- 对于 Manager、Scanner 和 Updater 组件，需要进行额外的配置，如下所示：
|
||||
|
||||
```
|
||||
kubectl patch deploy neuvector-manager-pod -n cattle-neuvector-system --patch '{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}'
|
||||
kubectl patch deploy neuvector-scanner-pod -n cattle-neuvector-system --patch '{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}'
|
||||
kubectl patch cronjob neuvector-updater-pod -n cattle-neuvector-system --patch '{"spec":{"jobTemplate":{"spec":{"template":{"spec":{"securityContext":{"runAsUser": 5400}}}}}}}'
|
||||
```
|
||||
|
||||
### 离线环境中的集群支持
|
||||
|
||||
- 所有 NeuVector 组件都可部署在离线环境中的集群上，无需任何额外配置。
|
||||
|
||||
### 支持限制
|
||||
|
||||
- 目前仅支持管理员和集群所有者。
|
||||
|
||||
- 不支持 Fleet 多集群部署。
|
||||
|
||||
- Windows 集群不支持 NeuVector。
|
||||
|
||||
### 其他限制
|
||||
|
||||
- 目前，如果 NeuVector partner Chart 已存在，则 NeuVector 功能 Chart 的安装会失败。要解决此问题，请卸载 NeuVector partner Chart 并重新安装 NeuVector 功能 Chart。
|
||||
|
||||
- Controller 未准备好时，有可能无法从 Rancher UI 访问 NeuVector UI。在此期间，Controller 将尝试重新启动，并且需要几分钟才能进入 active 状态。
|
||||
|
||||
- 安装 NeuVector Chart 时，不会针对不同的集群类型自动检测容器运行时。要解决此问题，你可以手动指定运行时。
|
||||
Reference in New Issue
Block a user