外部实体可视化 | 操作 | Red Hat Advanced Cluster Security for Kubernetes 4.6

在Central中启用外部IP收集 (Enabling external IP collection in Central)
在安全集群中启用外部IP收集 (Enabling external IP collection in secured clusters)
使用API查询外部IP地址 (Querying external IP addresses by using the API)
已知限制 (Known limitations)

可视化外部实体仅为技术预览功能。技术预览功能不受Red Hat生产服务级别协议(SLA)的支持，并且可能功能不完整。Red Hat不建议在生产环境中使用它们。这些功能可让客户提前访问即将推出的产品功能，从而能够在开发过程中测试功能并提供反馈。

有关 Red Hat 技术预览功能的支持范围的更多信息，请参阅技术预览功能支持范围。

了解集群与外部实体之间的交互对于事件响应和网络策略管理至关重要。“可视化外部实体”功能使您可以查看与集群交互的外部 IP 地址。

您可以在网络图中查看外部实体，或使用 API 查询外部实体。

“可视化外部实体”是一个需要主动启用、默认情况下禁用的功能。要启用此功能，您必须在 Central 和安全集群中启用外部 IP 收集，如下节所述。

在 Central 中启用外部 IP 收集

Central 中有两个环境变量控制外部 IP 的收集：ROX_EXTERNAL_IPS 和 ROX_NETWORK_GRAPH_EXTERNAL_IPS。

您必须在 Central 中启用 ROX_EXTERNAL_IPS 以启用外部 IP 收集并使用 API 查询外部实体。之后，您可以使用 ROX_NETWORK_GRAPH_EXTERNAL_IPS 在网络图中显示收集到的外部 IP。

步骤

如果您使用 RHACS 运算符安装了 RHACS，请在 Central 自定义资源定义 (CRD) 中插入以下自定义项：
```
spec:
  customize:
    envVars:
      - name: ROX_EXTERNAL_IPS (1)
        value: 'true'
```
1 此外，您还可以指定 ROX_NETWORK_GRAPH_EXTERNAL_IPS。
如果您使用 Helm 安装了 RHACS，请将以下注释添加到您的 values-public.yaml 文件中：
```
customize:
  # Extra environment variables for all containers in all objects.
  envVars:
    ROX_EXTERNAL_IPS: “true” (1)
```
1 此外，您还可以指定 ROX_NETWORK_GRAPH_EXTERNAL_IPS。

在安全集群中启用外部 IP 收集

要在安全集群中启用外部 IP 收集，您必须分别配置每个安全集群的运行时配置。

您可以让某些集群启用此功能，而其他集群保持禁用状态。在这种情况下，外部 IP 信息仅适用于您已启用此功能的集群。

您可以使用 ConfigMap 对象在安全集群中启用外部 IP 收集。

步骤

创建一个名为 collector-config 的 ConfigMap 对象，内容如下：

apiVersion: v1
kind: ConfigMap
metadata:
  name: collector-config
  namespace: stackrox
data:
  runtime_config.yaml: | (1)
    networking:
      externalIps:
        enable: true

1	RHACS 将此文件挂载到 `/etc/stackrox/runtime_config.yaml`。

每当您创建或更新 ConfigMap 对象时，收集器都会刷新运行时配置。当您删除 ConfigMap 对象时，设置将恢复为默认运行时配置值。

使用 API 查询外部 IP 地址

您可以使用以下端点获取与特定集群关联的外部 IP 地址的信息：

/v1/networkgraph/cluster/{clusterId}/externalentities：此端点返回给定集群 ID 的外部实体列表。每个实体包含以下信息：
- 名称：外部实体的名称。
- CIDR 块：与实体关联的 CIDR 块。
- 默认实体：表示该实体是系统提供的 CIDR 块定义。
- 已发现：如果为 true，则表示外部 IP 地址与任何指定的 CIDR 块都不匹配。
/v1/networkgraph/cluster/{clusterId}/externalentities/flows/{deploymentId}：此端点报告给定集群 ID 和部署 ID 的外部实体的流量。使用此端点分析网络流量模式，并深入了解集群与外部实体之间的交互。

已知限制

以下是“可视化外部实体”功能的一些已知限制：

当您为集群启用外部 IP 收集时，这些集群中的收集器会向传感器和 Central 报告更多信息。如果集群中的工作负载与大量不同的外部对等方通信，这可能会导致可扩展性问题。建议您不要在与超过 10,000 个不同的外部实体进行通信模式的集群上启用此功能。
网络图页面上 IP 信息的显示是实验性的，并为每个 IP 实体使用图形项目。当对等方的数量为数百个或更多时启用此级别的详细信息可能会导致用户界面难以阅读，而超过 2,000 个对等方可能会导致用户界面可能无响应。
如果外部 IP 地址是 CIDR 块的一部分，则您无法看到它们。