架构
系统架构
概述
本文档简要概述了适用于 Kubernetes 环境的 Alauda Security Service 架构。
Alauda Security Service 采用分布式、基于容器的架构，为 Kubernetes 集群提供可扩展、低影响的安全能力。
关键组件
- Central Services：部署在单个集群上，提供管理、API 和 UI（Alauda Security Service Portal）。包括 Central、Central DB（PostgreSQL 13）以及 Scanner V4 漏洞扫描器。
- 受保护集群服务：部署在每个受保护集群上。包括 Sensor（集群监控和策略执行）、Admission Controller（策略准入）、Collector（运行时和网络数据收集）以及可选的扫描器组件。
Scanner 概览
- Scanner V4：自 4.7 版本起的默认且唯一受支持的扫描器。支持按语言和操作系统特定的镜像扫描。由 Indexer、Matcher 和 DB 组成。
漏洞来源
- Scanner V4 从多个来源获取漏洞情报，包括供应商数据、OSV、NVD 以及操作系统特定的 feed。
部署说明
- operator 会在每个集群上安装一个轻量级 Scanner V4，用于集成的镜像仓库扫描。
- 使用 Helm 安装时，需要设置
scannerV4.disable=false以启用轻量级 Scanner V4。 - 如果 Central 和受保护集群服务共享同一个 namespace，则仅由 Central 部署 Scanner V4 组件。
外部集成
- 第三方系统（CI/CD、SIEM、日志、电子邮件）
- roxctl CLI
- 镜像仓库（自动/手动集成）
- definitions.stackrox.io（漏洞 feed）
- collector-modules.stackrox.io（内核模块）
具体的集成集合取决于你的部署模型以及平台中配置的集成。
组件交互
Alauda Security Service 与 Scanner V4
这些交互是概念性的。具体的运行时拓扑会因扫描是本地、委派式还是与 Central 共享而有所不同。