Installer ToutWAF sur Kubernetes
Déployer le plan de données avec le chart Helm (ou des manifestes simples, ou en sidecar), avec un plan de contrôle dans le cluster si vous le voulez : installation, vérification, mise à jour et désinstallation.
La version que vous installez
La version publique est une version de développement, nommée 0.3.0-dev. Son nom ne change pas : chaque publication remplace la précédente, et un identifiant de build distingue deux builds. Aucune version stable n'existe encore : elle ne sera publiée que lorsque chaque système et chaque paquet auront été testés de bout en bout. Les commandes de cette page installent donc depuis le canal dev. Une version de développement peut contenir des défauts : essayez-la sur un site de test avant de vous y fier.
L'essentiel
- Kubernetes 1.25 ou plus. Le plan de données se déploie en Deployment ou en DaemonSet, sans état ; la politique vient de valeurs Helm (ConfigMap rechargée à chaud) ou d'un plan de contrôle.
- Les pods s'exécutent sans privilège (utilisateur 65532), avec un système de fichiers racine en lecture seule, toutes les capacités retirées et le profil seccomp RuntimeDefault.
- Le chart, les manifestes et l'exemple en sidecar sont dans le dossier deploy de votre distribution de ToutWAF, pas dans le dépôt public.
- Le plan de contrôle dans le cluster est une instance unique avec SQLite (PostgreSQL n'est pas implémenté).
Les commandes, pas à pas
Installer avec Helm
Déploie le plan de données en ingress, avec un plan de contrôle dans le cluster si vous le souhaitez. Le chart et les manifestes (mode sidecar compris) sont dans le dossier deploy de votre distribution ToutWAF, pas dans le dépôt public qui ne contient que des binaires et des installeurs. L'opérateur se limite à des CRD et à une ébauche.
helm install toutwaf ./deploy/helm/toutwaf --namespace toutwaf --create-namespace -f my-values.yamlVérifier les pods et ouvrir la console
kubectl -n toutwaf get pods
kubectl -n toutwaf port-forward svc/toutwaf-cp 9443:9443Mettre à jour (conteneurs)
Faites d'abord une sauvegarde. Le bouton de mise à jour de la console ne peut pas fonctionner dans un conteneur : remplacez les binaires du dossier bin (ou l'image, quand une image sera publiée) et reconstruisez ; les volumes, donc vos données, sont conservés.
helm upgrade toutwaf ./deploy/helm/toutwaf --namespace toutwaf -f my-values.yamlDésinstaller
Le premier bloc supprime les services, les binaires et les règles de pare-feu ajoutées par ToutWAF, et conserve vos données. Le second supprime aussi la configuration, les données et les journaux.
helm uninstall toutwaf --namespace toutwafkubectl delete namespace toutwafCe qui n'est pas vérifié
Nous préférons le dire clairement.
- L'opérateur Kubernetes est un squelette : les définitions de ressources (CRD), les droits et une bibliothèque de traduction existent, mais aucun binaire de contrôleur ni image d'opérateur n'est publié. Utilisez la politique « standalone » de Helm ou un plan de contrôle.
- Les ressources de dimensionnement de l'exemple en sidecar sont des valeurs d'exemple, pas une garantie.