Два режима наблюдения#
| Режим | Права агента | Данные |
|---|---|---|
| Namespaces | list Pods, Deployments, StatefulSets, DaemonSets в перечисленных namespaces | Инвентарь; опционально CPU/RAM |
| Отдельные workloads | get именованных Deployment, StatefulSet, DaemonSet через resourceNames | Только инвентарь контроллеров, без Pods и usage |
Для namespace-метрик добавляются list pods.metrics.k8s.io и list replicasets.apps в тех же namespaces. ReplicaSet нужен для связи Pod с Deployment по UID.
Почему labels не заменяют RBAC#
Kubernetes RBAC не ограничивает list динамических Pods по владельцу или label selector. Поэтому строгая изоляция одного workload не включает namespace-метрики. Фильтрация после чтения не выдаётся за границу доступа.
Изменить область после подключения#
- Откройте Settings → область доступа и сбор данных.
- Подготовьте желаемые namespaces/workloads и состояние CPU/RAM.
- Скопируйте выданную команду observe. CLI проверит identity кластера и текущую установку, покажет изменение прав.
- Подтвердите применение локально. Дождитесь согласованной конфигурации и нового снимка.
Новая настройка в браузере сама по себе не расширяет Kubernetes-права. Несовпадение серверной и локальной области останавливает сбор. Для истёкшего кода получите новую команду из Settings.
Проверить границы#
Смотрите coverage и ошибки доступа по каждому разделу. Отсутствие данных не обязательно означает отсутствие нагрузок: возможны Forbidden, неполный снимок или несовпадение области. Полная таблица прав →