Kubernetes での Cloud Security のセットアップ

Misconfigurations and Vulnerability Management を有効にするには、以下の手順に従ってください。

Collecting events using Cloud Security affects your billing. For more information, see Datadog Pricing.

前提条件

  • Datadog Agent の最新バージョン。インストール手順については、Agent の概要を参照するか、Datadog UI から Agent をインストールしてください。

注: SBOM コレクションは、Google Kubernetes Engine (GKE) のイメージストリーミング機能とは互換性がありません。これを無効にするには、GKE ドキュメントの Disable Image streaming セクションを参照してください。

インストール

    1. datadog-agent.yaml ファイルの spec セクションに以下を追加します。

      # datadog-agent.yaml file
apiVersion: datadoghq.com/v2alpha1
kind: DatadogAgent
metadata:
  name: datadog
spec:
  features:
    cspm:
      enabled: true
      hostBenchmarks:
        enabled: true
    # Enables the image metadata collection and Software Bill of Materials (SBOM) collection
    sbom:
      enabled: true
      # Enables Container Vulnerability Management
      # Image collection is enabled by default with Datadog Operator version `>= 1.3.0`
      containerImage:
        enabled: true

        # Uncomment the following line if you are using Google Kubernetes Engine (GKE) or Amazon Elastic Kubernetes (EKS)
        # uncompressedLayersSupport: true

      # Enables Host Vulnerability Management
      host:
        enabled: true

    2. 変更を適用し、Agent を再起動します。

    1. datadog-values.yaml ファイルの datadog セクションに以下を追加します。

      # datadog-values.yaml file
datadog:
  securityAgent:
    # Enables Misconfigurations
    compliance:
      enabled: true
      host_benchmarks:
        enabled: true
  sbom:
    containerImage:
      enabled: true

      # Uncomment the following line if you are using Google Kubernetes Engine (GKE) or Amazon Elastic Kubernetes (EKS)
      # uncompressedLayersSupport: true

    # Enables Host Vulnerability Management
    host:
      enabled: true

    # Enables Container Vulnerability Management
    # Image collection is enabled by default with Datadog Helm version `>= 3.46.0`
    # containerImageCollection:
    #   enabled: true

    2. Agent を再起動します。

    daemonset.yaml ファイルの security-agent と system-probe の env セクションに次の設定を追加します。

      # ソース: datadog/templates/daemonset.yaml
  apiVersion:app/1
  kind: DaemonSet
  [...]
  spec:
  [...]
  spec:
      [...]
        containers:
        [...]
          - name: agent
            [...]
          - name: system-probe
            [...]
            env:
              - name: DD_COMPLIANCE_CONFIG_ENABLED
                value: "true"
              - name: DD_COMPLIANCE_CONFIG_HOST_BENCHMARKS_ENABLED
                value: "true"
              - name: DD_CONTAINER_IMAGE_ENABLED
                value: "true"
              - name: DD_SBOM_ENABLED
                value: "true"
              - name: DD_SBOM_CONTAINER_IMAGE_ENABLED
                value: "true"
              - name: DD_SBOM_HOST_ENABLED
                value: "true"
              - name: DD_SBOM_CONTAINER_IMAGE_USE_MOUNT
                value: "true"
          [...]