Tetragon#

enabled

Включение установки чарта целиком

true

imagePullSecrets

Список Secret для загрузки образа контейнера из приватных реестров

[]

priorityClassName

Имя PriorityClass для pod

""

imagePullPolicy

Политика загрузки контейнерных образов.
Возможные значения: Always, IfNotPresent, Never

IfNotPresent

serviceAccount.create

Автоматическое создание ServiceAccount

true

serviceAccount.name

Имя ServiceAccount; при пустом значении имя генерируется автоматически

""

podAnnotations

Дополнительные аннотации, добавляемые на pod

{}

podSecurityContext

Параметры контекста безопасности pod

{}

nodeSelector

Селектор узлов для планирования pod

{}

tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

extraHostPathMounts

Дополнительные монтирования hostPath, подключаемые в pod

[]

extraConfigmapMounts

Дополнительные монтирования ConfigMap в pod

[]

daemonSetAnnotations

Аннотации, применяемые к DaemonSet

{}

extraVolumes

Дополнительные тома (Volume) для pod

[]

updateStrategy

Стратегия обновления ресурса

{}

podLabels

Дополнительные метки, добавляемые на pod

{}

daemonSetLabelsOverride

Набор меток, полностью или частично переопределяющий метки DaemonSet

{}

selectorLabelsOverride

Набор меток для переопределения selector-меток ресурсов

{}

podLabelsOverride

Набор меток для переопределения меток pod

{}

serviceLabelsOverride

Набор меток для переопределения меток Service

{}

dnsPolicy

Политика разрешения DNS для pod.
Возможные значения: Default, ClusterFirst, ClusterFirstWithHostNet, None

Default

exportDirectory

Путь внутри pod, в который записываются файлы экспорта событий в формате JSON

"/var/run/cilium/tetragon"

hostNetwork

Включение запуска pod в сети хоста; требуется для корректной видимости процессов

true

tetragon.enabled

Включение развертывания агента

true

tetragon.image.override

Полное переопределение образа контейнера агента

~

tetragon.image.tag

Тег образа контейнера

v1.7.0

tetragon.extraArgs

Дополнительные аргументы командной строки для контейнера

{}

tetragon.podAnnotations.enabled

Включение добавления аннотаций на pod агента

false

tetragon.securityContext.privileged

Запуск контейнера в привилегированном режиме

true

tetragon.processCacheSize

Размер LRU-кеша процессов (Least Recently Used), используемого для поиска предков последующих exec-событий

65536

tetragon.exportFilename

Имя файла JSON-экспорта; при пустом значении JSON-экспорт в файл отключен

tetragon.log

tetragon.exportFileMaxSizeMB

Размер файла JSON-экспорта в мегабайтах, после которого выполняется ротация

10

tetragon.exportFileCompress

Сжатие ротированных файлов JSON-экспорта

false

tetragon.exportAllowList

Cписок разрешенных событий (allowlist) для JSON-экспорта.
Пример конфигурации:

exportAllowList: |
  {"namespace":["default"],"event_set":["PROCESS_EXEC"]}

tetragon.fieldFilters

Фильтры включения и исключения полей событий. При наличии хотя бы одного фильтра включения остальные поля по умолчанию исключаются. Пути полей указываются через точку (a.b.c), несколько путей — через запятую; опционально фильтр применяется к конкретному набору событий через event_set.
Пример конфигурации:

fieldFilters: |
  {"fields": "parent", "action": "EXCLUDE"}
  {"event_set": ["PROCESS_KPROBE"], "fields": "process", "action": "INCLUDE"}

""

tetragon.clusterName

Имя кластера, устанавливаемое в поле cluster_name сообщений GetEventsResponse

""

tetragon.enableProcessCred

Включение видимости Linux capabilities в exec- и kprobe-событиях

false

tetragon.processAncestors.enabled

Список через запятую типов событий процессов, для которых включается сбор сведений о предках; поддерживаемые типы: base, kprobe, tracepoint, loader, uprobe, lsm, usdt, неизвестные типы игнорируются. Тип base обязателен для остальных типов. При пустом значении сбор сведений о предках отключен

""

tetragon.commandOverride

Переопределение команды запуска контейнера; для опытных пользователей

[]

tetragon.prometheus.enabled

Включение экспорта метрик

true

tetragon.prometheus.port

Порт, на котором публикуются метрики

2112

tetragon.prometheus.serviceMonitor.enabled

Активация создания ServiceMonitor для Prometheus Operator

true

tetragon.prometheus.serviceMonitor.extraLabels

Дополнительные метки для ServiceMonitor

{}

tetragon.grpc.enabled

Включение публикации gRPC-интерфейса

true

tetragon.gops.enabled

Включение публикации gops-сервера (инструмента диагностики процессов Go)

true

tetragon.gops.port

Порт публикации gops-сервера

8118

tetragon.pprof.address

Адрес публикации pprof-сервера

"localhost"

tetragon.enablePolicyFilter

Включение фильтра политик; требуется для фильтрации по пространствам имен и меткам pod

True

tetragon.enablePolicyFilterDebug

Включение отладочных сообщений фильтра политик

false

tetragon.healthGrpc.enabled

Включение health gRPC-сервера

true

tetragon.healthGrpc.interval

Интервал проверки состояния агента

10

tetragon.eventCacheRetries

Количество повторных попыток в кеше событий

15

tetragon.enableKeepSensorsOnExit

Сохранение политики принудительного применения активной даже после завершения процесса агента

false

tetragon.cri.enabled

Настройка pod для доступа к CRI (Container Runtime Interface), работающему на хосте

false

tetragon.cgidmap.enabled

Использование идентификатора cgroup вместо имен cgroup для связывания pod; зависит от включенного CRI

false

tetragonOperator.enabled

Включение развертывания оператора

true

tetragonOperator.replicas

Количество реплик pod

1

tetragonOperator.failoverLease.namespace

Пространство имен, в котором создается ресурс Lease; при пустом значении используется пространство имен установки

""

tetragonOperator.failoverLease.leaseRenewDeadline

Интервал, с которым лидер продлевает Lease

5s

tetragonOperator.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

tetragonOperator.extraLabels

Дополнительные метки для Deployment оператора

{}

tetragonOperator.priorityClassName

Имя PriorityClass для pod

""

tetragonOperator.serviceAccount.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

tetragonOperator.podSecurityContext

Параметры контекста безопасности pod

{}

tetragonOperator.containerSecurityContext.capabilities.drop

Список возможностей (capabilities), отзываемых у контейнера

tetragonOperator.resources.limits.cpu

Ограничение ресурсов CPU для контейнера

500m

tetragonOperator.resources.requests.cpu

Запрашиваемые ресурсы CPU для контейнера

10m

tetragonOperator.strategy.type

Тип стратегии обновления Deployment.
Возможные значения: RollingUpdate, Recreate

RollingUpdate

tetragonOperator.strategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod при обновлении

0

tetragonOperator.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

tetragonOperator.image.override

Полное переопределение образа контейнера оператора

~

tetragonOperator.image.tag

Тег образа контейнера

v1.7.0

tetragonOperator.extraVolumes

Дополнительные тома (Volume) для pod

[]

tetragonOperator.forceUpdateCRDs

Принудительное обновление Custom Resource Definitions (CRD) при работе оператора

false

tetragonOperator.tracingPolicy.enabled

Включение создания CRD TracingPolicy и TracingPolicyNamespaced

true

tetragonOperator.prometheus.address

Адрес публикации метрик; при пустом значении метрики публикуются на всех доступных интерфейсах

""

tetragonOperator.prometheus.serviceMonitor.enabled

Активация создания ServiceMonitor для Prometheus Operator

true

tetragonOperator.prometheus.serviceMonitor.extraLabels

Дополнительные метки для ServiceMonitor

{}

export.mode

Режим экспорта событий; значение stdout включает сайдкар-контейнер для вывода в stdout, при пустом значении экспорт отключен

"stdout"

export.securityContext

Настройки контекста безопасности контейнера экспорта

{}

export.stdout.extraEnv

Дополнительные переменные окружения для контейнера export-stdout.
Пример конфигурации:

extraEnv:
  - name: FOO
    value: bar
  - name: SECRET_KEY
    valueFrom:
      secretKeyRef:
        name: my-secret
        key: secret-key

[]

export.stdout.envFromSecrets

Упрощенный способ добавления ссылок на Secret в envFrom; можно указывать строкой (имя секрета) или объектом с дополнительными параметрами.
Пример конфигурации:

envFromSecrets:
  - my-simple-secret
  - name: my-optional-secret
    optional: true

[]

export.stdout.enabledArgs

Добавление аргументов в manifest для контейнера export-stdout; при false используются аргументы образа по умолчанию

true

export.stdout.argsOverride

Переопределение аргументов контейнера export-stdout

[]

export.stdout.image.override

Полное переопределение образа контейнера export-stdout

~

export.stdout.image.tag

Тег образа контейнера

v1.2.0

crds.installMethod

Метод установки CRD. Метод operator позволяет управлять установкой отдельных CRD и по умолчанию не выполняет понижение версий CRD; метод helm всегда устанавливает все CRD версии чарта.
Возможные значения: operator, helm, none

"operator"

rthooks.enabled

Включение DaemonSet tetragon-rthooks для установки хуков среды исполнения на хост

false

rthooks.interface

Метод установки хуков среды исполнения. oci-hooks — добавление файла в /usr/share/containers/oci/hooks.d, используется с CRI-O; конкретная конфигурация задается в ociHooks. nri-hook — установка через NRI (Node Resource Interface), используется с containerd, требует включенного NRI; конкретная конфигурация задается в nriHook.
Возможные значения: oci-hooks, nri-hook

""

rthooks.extraLabels

Дополнительные метки для DaemonSet tetragon-rthooks

{}

rthooks.priorityClassName

Имя PriorityClass для pod

""

rthooks.installDir

Путь на хосте, куда устанавливается бинарный файл tetragon-oci-hook

"/opt/tetragon"

rthooks.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

rthooks.extraHookArgs

Дополнительные аргументы, передаваемые в tetragon-oci-hook

{}

rthooks.nriHook.nriSocket

Путь к сокету NRI для интерфейса nri-hook

"/var/run/nri/nri.sock"

rthooks.image.repository

Репозиторий образа tetragon-rthooks

quay.io/cilium/tetragon-rthooks

rthooks.serviceAccount.name

Имя ServiceAccount для DaemonSet tetragon-rthooks; при пустом значении используется имя по умолчанию

""