Un ClusterRole read-only (maintenant-reader) suffit.
C'est déjà trop. C'est le gros reproche de la plupart des solutions devant superviser l'ensemble d'un cluster (ici k8s). Une compromission de la solution de monitoring suffit alors à obtenir pléthore d'informations. La logique devrait être inverse : un agent par namespace devrait remonter l'information, pas l'inverse.
# Cluster reader
Posté par Sébastien Rohaut (site web personnel) . En réponse à la dépêche Maintenant : monitorer toute sa stack Docker depuis un seul conteneur. Évalué à 5.
Un ClusterRole read-only (maintenant-reader) suffit.
C'est déjà trop. C'est le gros reproche de la plupart des solutions devant superviser l'ensemble d'un cluster (ici k8s). Une compromission de la solution de monitoring suffit alors à obtenir pléthore d'informations. La logique devrait être inverse : un agent par namespace devrait remonter l'information, pas l'inverse.