x509-certificate-exporter#

nameOverride

Частичное переопределение базового имени чарта: добавляется к имени релиза при генерации имен ресурсов

""

fullnameOverride

Полное переопределение имени для всех создаваемых ресурсов, игнорируя имя релиза и чарта

""

namespaceOverride

Явное указание пространства имен для установки ресурсов чарта, переопределяет пространство имен релиза Helm

""

extraDeploy

Список дополнительных Kubernetes-манифестов (YAML), которые будут обработаны шаблоном Helm и развернуты с релизом

[]

extraDeployVerbatim

Список манифестов, которые будут развернуты «как есть», без обработки Helm-шаблонами

[]

imagePullSecrets

Список имен секретов для аутентификации в приватных container registry при загрузке образов экспортера

[]

image.registry

Реестр контейнеров для образа экспортера, поддерживает глобальные настройки через Helm-шаблоны

{{ .Values.global.image.registry }}

image.tag

Тег образа экспортера. По умолчанию используется версия из Chart.AppVersion, если не задано явно

3.20.1

image.pullPolicy

Политика загрузки образа: IfNotPresent для кеширования, Always для гарантированного обновления

IfNotPresent

migration.image.repository

Репозиторий образа Kubectl для выполнения миграционных задач в рамках Helm hooks

{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-kubernetes/kubectl

migration.image.digest

Digest образа Kubectl. При задании имеет приоритет над тегом и автоопределением версии

""

migration.extraLabels

Дополнительные метки для pod миграционных задач для селекции и мониторинга

{}

migration.resources.limits.memory

Лимит памяти для миграционных задач, предотвращающий исчерпание ресурсов узла

150Mi

migration.resources.requests.memory

Гарантированный объем памяти для стабильного выполнения миграционных задач

20Mi

migration.securityContext.runAsUser

UID пользователя для запуска контейнеров миграционных Jobs

65534

migration.securityContext.readOnlyRootFilesystem

Монтирование корневой ФС в режим только для чтения для повышения безопасности

true

exposePerCertificateErrorMetrics

Экспорт отдельных метрик ошибок для каждого сертификата: помогает диагностировать проблемы чтения без анализа логов, но увеличивает кардинальность метрик в Prometheus

false

exposeRelativeMetrics

Экспорт метрик с относительными длительностями вместо абсолютных таймстемпов: не рекомендуется для Prometheus из-за особенностей хранения временных рядов

false

metricLabelsFilterList

Список разрешенных меток для метрик. Снижение кардинальности может привести к коллизиям метрик и игнорированию сертификатов. Минимум должен включать filepath, secret_namespace, secret_name; subject_CN рекомендуется для файлов с несколькими сертификатами

null

grafana.createDashboard

Создание ConfigMap с панелью Grafana для автоматического обнаружения через sidecar (требуется grafana-sidecar)

false

grafana.sidecarLabelValue

Значение метки для фильтрации ConfigMap Grafana sidecar

1

grafana.extraLabels

Дополнительные метки для ConfigMap панели для селекции и управления

{}

secretsExporter.enabled

Включение Deployment для экспортера, сканирующего TLS-секреты кластера на предмет истекающих сертификатов

true

secretsExporter.debugMode

Включение отладочного вывода логов для диагностики проблем сканирования секретов

false

secretsExporter.restartPolicy

Политика перезапуска pod экспортера: Always для гарантированного восстановления при сбоях

Always

secretsExporter.revisionHistoryLimit

Количество старых ReplicaSets для отката изменений. Если не заполнено, используется значение по умолчанию Kubernetes

""

secretsExporter.resources.limits.memory

Лимит памяти для экспортера, предотвращающий OOM при сканировании большого количества секретов

150Mi

secretsExporter.resources.requests.memory

Гарантированный объем памяти для стабильной работы экспортера

20Mi

secretsExporter.readinessProbe.periodSeconds

Интервал между повторными проверками readiness

3

secretsExporter.livenessProbe.periodSeconds

Интервал между проверками liveness

3

secretsExporter.tolerations

Допуски для размещения экспортера на узлах с taint

[]

secretsExporter.priorityClassName

Класс приоритета для pod экспортера секретов

""

secretsExporter.podAnnotations

Аннотации для pod экспортера, например для интеграции с Prometheus

{}

secretsExporter.securityContext.runAsUser

UID пользователя для запуска контейнера экспортера

65534

secretsExporter.securityContext.readOnlyRootFilesystem

Монтирование корневой ФС в режим только для чтения

true

secretsExporter.extraVolumes

Дополнительные тома для монтирования в pod экспортера (комбинируются с глобальными extraVolumes)

[]

secretsExporter.secretTypes

Типы секретов и ключи данных для сканирования: по умолчанию kubernetes.io/tls с ключом tls.crt

[
  { «type»: «kubernetes.io/tls», «key»: «tls.crt» }
]

secretsExporter.includeNamespaces

Список пространств имен для сканирования. Если не заполнено, используется список со всеми пространствами имен

[]

secretsExporter.includeNamespaceLabels

Фильтрация пространств имен по меткам: ключи или «ключ=значение» для включения только определенных окружений

[]

secretsExporter.includeLabels

Фильтрация TLS-Secrets по меткам для сканирования только определенных ресурсов

[]

secretsExporter.exposeSecretLabels

Список меток из секретов Kubernetes для экспорта как Prometheus-меток (обогащение метрик)

[]

secretsExporter.cache.enabled

Включение кеширования Kubernetes-объектов для предотвращения тайм-аутов при скрейпинге метрик

true

secretsExporter.kubeApiRateLimits.enabled

Включение ограничение на количество запросов (rate limiting) к Kubernetes API для предотвращения троттлинга

false

secretsExporter.kubeApiRateLimits.burstQueries

Размер burst-буфера для запросов к API серверу

10

hostPathsExporter.annotations

Дополнительные аннотации для DaemonSet экспортера хост-путей

{}

hostPathsExporter.skipSymlinks

Пропуск символических ссылок при сканировании файлов и каталогов (не применяется к секретам Kubernetes`)

false

hostPathsExporter.updateStrategy

Стратегия обновления DaemonSet: RollingUpdate с контролем доступности при апдейте

{}

hostPathsExporter.resources.limits.cpu

Максимальное использование CPU для контейнеров экспортера хост-путей

1

hostPathsExporter.resources.requests.cpu

Гарантированное выделение CPU для планирования pod экспортера

10m

hostPathsExporter.readinessProbe.initialDelaySeconds

Задержка перед первой проверкой готовности экспортера хост-путей

5

hostPathsExporter.livenessProbe.initialDelaySeconds

Задержка перед первой проверкой жизнеспособности процесса

5

hostPathsExporter.nodeSelector

Селектор узлов для размещения pod экспортера хост-путей (по умолчанию для всех DaemonSet)

{}

hostPathsExporter.affinity

Правила аффинити для оптимизации размещения pod (по умолчанию для всех DaemonSet)

{}

hostPathsExporter.podExtraLabels

Дополнительные метки для pod экспортера (по умолчанию для всех DaemonSet)

{}

hostPathsExporter.podSecurityContext

Контекст безопасности на уровне pod для экспортера хост-путей

{}

hostPathsExporter.securityContext.readOnlyRootFilesystem

Монтирование корневой ФС в режим только для чтения, несмотря на привилегированный режим

true

hostPathsExporter.extraVolumes

Дополнительные тома для pod экспортера (по умолчанию для всех DaemonSet, комбинируются с глобальными)

[]

hostPathsExporter.hostPathVolumeType

Тип HostPath volume: Directory (по умолчанию) или пустое значение для значения по умолчанию Kubernetes. Может требоваться для RKE

Directory

hostPathsExporter.watchSpecificExtensionDirectories

Список каталогов для сканирования файлов с определенными расширениями (одноуровневое)

[]

hostPathsExporter.watchKubeconfFiles

Список kubeconfig-файлов хоста для извлечения и мониторинга встроенных сертификатов

[]

hostPathsExporter.daemonSets.cp.nodeSelector

Селектор для размещения DaemonSet на control-plane узлах

{ "node-role.kubernetes.io/control-plane": "" }

hostPathsExporter.daemonSets.cp.watchFiles

Список файлов сертификатов для мониторинга на control-plane узлах (API server, etcd, front-proxy и др.)

[
  «/var/lib/kubelet/pki/kubelet-client-current.pem»,
  «/etc/kubernetes/pki/apiserver.crt»,
  «/etc/kubernetes/pki/apiserver-etcd-client.crt»,
  «/etc/kubernetes/pki/apiserver-kubelet-client.crt»,
  «/etc/kubernetes/pki/ca.crt»,
  «/etc/kubernetes/pki/ingress-ca.crt»,
  «/etc/kubernetes/pki/front-proxy-ca.crt»,
  «/etc/kubernetes/pki/front-proxy-client.crt»,
  «/etc/kubernetes/pki/etcd/ca.crt»,
  «/etc/kubernetes/pki/etcd/healthcheck-client.crt»,
  «/etc/kubernetes/pki/etcd/peer.crt»,
  «/etc/kubernetes/pki/etcd/server.crt»
]

hostPathsExporter.daemonSets.workers.nodeSelector

Селектор для размещения DaemonSet на рабочих узлах

{«node-role.kubernetes.io/worker»:»»}

podListenPort

Порт, на котором экспортер слушает запросы метрик внутри pod (независимо от включения Kube-rbac-proxy)

9793

hostNetwork

Использование сетевого пространства имен хоста: рекомендуется в случаях, когда Prometheus развернут вне кластера Kubernetes

false

webConfiguration

Конфигурация веб-сервера в формате Exporter Toolkit: TLS, базовая аутентификация, mTLS

""

webConfigurationExistingSecret

Имя секрета с конфигурацией веб-сервера (ключ webconfig.yaml). Приоритет над inline webConfiguration

""

service.create

Создание Service для агрегации трафика ко всем экземплярам экспортера (требуется для ServiceMonitor)

true

service.port

Порт сервиса для доступа к метрикам экспортера

9793

service.extraLabels

Дополнительные метки для Service для селекции и управления

{}

prometheusServiceMonitor.create

Создание ServiceMonitor ресурса для автоматического скрейпинга метрик экспортера Prometheus Operator

true

prometheusServiceMonitor.scrapeTimeout

Тайм-аут одной попытки сбора метрик

30s

prometheusServiceMonitor.extraAnnotations

Аннотации для ServiceMonitor для интеграции с внешними системами

{}

prometheusServiceMonitor.relabelings

Правила преобразования меток целевых объектов перед скрейпингом

[]

prometheusServiceMonitor.tlsConfig

Пользовательская TLS-конфигурация для безопасного соединения с экспортером

{}

prometheusPodMonitor.create

Создание PodMonitor-ресурса для скрейпинга метрик напрямую с pod (альтернатива ServiceMonitor)

false

prometheusPodMonitor.scrapeTimeout

Тайм-аут одной попытки сбора метрик с pod

30s

prometheusPodMonitor.metricRelabelings

Правила преобразования метрик на этапе сбора

[]

prometheusPodMonitor.scheme

Схема подключения к экспортеру на уровне pod

http

prometheusRules.create

Создание PrometheusRule-ресурса с правилами оповещений для Prometheus Operator

true

prometheusRules.readErrorsSeverity

Уровень серьезности оповещений о ошибках чтения: warning или critical

warning

prometheusRules.certificateErrorsSeverity

Уровень серьезности оповещений об ошибках сертификатов

warning

prometheusRules.certificateExpirationsSeverity

Уровень серьезности оповещений о скором истечении срока действия сертификата

critical

prometheusRules.criticalDaysLeft

Количество дней до истечения для критического оповещений (14 дней — запас для обхода ограничения на количество запросов (rate limiting) ACME)

14

prometheusRules.alertExtraLabels

Дополнительные метки для самих правил оповещений

{
  «prometheus»: «dropapp-monitoring/k8s»
}

prometheusRules.rulePrefix

Префикс для имен правил оповещений для избежания коллизий в multi-chart-окружениях

""

prometheusRules.extraAlertGroups

Дополнительные группы правил оповещений для пользовательской конфигурации

[]

extraLabels

Глобальные метки, добавляемые ко всем создаваемым ресурсам чарта для единой селекции и управления

{}

podExtraLabels

Метки, добавляемые ко всем pod экспортера для интеграции с мониторингом или сетевыми политиками

{}

podAnnotations

Аннотации для всех pod, например prometheus.io/scrape для автообнаружения метрик

{}

priorityClassName

Класс приоритета по умолчанию для всех pod экспортера (может быть переопределен в secretsExporter/hostPathsExporter)

""

extraVolumes

Глобальные дополнительные тома для монтирования во все pod экспортера

[]

extraVolumeMounts

Глобальные дополнительные volumeMounts для всех контейнеров pod экспортера

[]

psp.create

Создание PodSecurityPolicy объектов. Устарело в Kubernetes 1.25+, используйте Pod Security Admission

false

rbac.create

Создание RBAC-объектов (ServiceAccount, ClusterRole, ClusterRoleBinding) для экспортера

true

rbac.secretsExporter.serviceAccountAnnotations

Аннотации для ServiceAccount экспортера секретов

{}

rbac.secretsExporter.clusterRoleBindingAnnotations

Аннотации для ClusterRoleBinding экспортера секретов

{}

rbac.hostPathsExporter.serviceAccountAnnotations

Аннотации для ServiceAccount экспортера хост-путей

{}

rbac.hostPathsExporter.clusterRoleBindingAnnotations

Аннотации для ClusterRoleBinding экспортера хост-путей

{}

rbacProxy.enabled

Включение Kube-rbac-proxy sidecar для аутентификации и авторизации запросов к метрикам экспортера

false

rbacProxy.image.tag

Версия образа Kube-rbac-proxy

v0.21.0

rbacProxy.upstreamListenPort

Порт, на котором экспортер слушает внутри pod (до Kube-rbac-proxy), Kube-rbac-proxy перенаправляет на podListenPort

9091

rbacProxy.resources.limits.memory

Лимит памяти для Kube-rbac-proxy sidecar

40Mi

rbacProxy.resources.requests.memory

Гарантированный объем памяти для Kube-rbac-proxy

20Mi

rbacProxy.securityContext.runAsGroup

GID группы для контейнера Kube-rbac-proxy

65534

rbacProxy.securityContext.readOnlyRootFilesystem

Монтирование корневой ФС прокси в режим только для чтения

true

kubeVersion

Явное указание версии Kubernetes для корректной шаблонизации при использовании Helm-шаблонов без подключения к кластеру

Отсутствует