Кто имеет какие права#
| Компонент | Что может делать |
|---|---|
| Оператор / CLI | С вашими kubeconfig-правами создаёт собственные компоненты и scoped RBAC после подтверждения |
| Агент Oopps | Читает разрешённый инвентарь и опциональные namespace-метрики. Не изменяет workloads или ноды |
| Платформа | Принимает разрешённые снимки и heartbeat; не получает kubeconfig и не выполняет kubectl |
| Metrics Server | Отдельный общий источник метрик с кластерными правами; его установка подтверждается отдельно |
Агенту не выдаются API-права на Secrets, ConfigMaps, Pod logs/exec, ноды или облачные credentials. Для инвентаря и usage используются namespace Roles, без ClusterRole агента.
Явно разрешённые business labels#
При агенте 0.3.2 можно разрешить четыре поддерживаемых business label keys; по умолчанию список пуст. Передаются только выбранные ключи metadata.labels контроллера, без новых RBAC-прав. Точный список и границы →
Что отправляет агент#
| Передаётся | Не передаётся |
|---|---|
| Имена namespace/workload/Pod/container и тип workload | env/envFrom, command/args, images и volumes |
| Реплики, Pod phase, requests/limits CPU/RAM | Произвольные labels, annotations, managedFields, raw manifests |
| Время сбора, версия/health, coverage и разрешённые CPU/RAM samples | Secrets, ConfigMaps, логи и прикладной трафик |
| Свежесть/окно источника, полнота метрик | Node metadata/IP и облачные ключи |
Коды и токены#
- Код подключения: 10 минут, одноразовая регистрация; не является административным API-ключом.
- Токен агента: 30 дней, привязан к подключению; в PostgreSQL хранится SHA-256. Автоматического продления пока нет.
- Токен читается из mounted Secret; Kubernetes SA token — из projected volume. Секрет не помещается в argv или Helm values.
- После регистрации CLI сохраняет временные recovery-материалы с режимом 0600; после подтверждения связи локальный файл agent-token удаляется.
- Отключение отзывает токен до очистки собственных ресурсов. Ротация делает прежний токен недействительным.
Транспорт и хранение#
Агент инициирует HTTPS-соединение с платформой, проверяет сертификат и имя сервера. HTTP redirects не используются для пересылки Authorization. В публичной установке требуется HTTPS.
Платформа хранит последний снимок, ограниченную диагностическую историю и audit events. Отключение и архивирование не равны удалению данных. Автоматическое удаление организации и backups не является доступной пользовательской функцией. Сертификация и гарантии инфраструктурного шифрования не заявляются этим руководством.
Identity и принадлежность#
CLI проверяет UID namespace kube-system как identity кластера и принадлежность установленного агента. При отключении дополнительно проверяются ожидаемые ресурсы, ownership и UID перед удалением. Чужой объект с похожим именем не считается собственным. Порядок отключения →