sysdig-fargate-test 镜像文档

镜像概述

sysdig-fargate-test是一个用于验证Sysdig Fargate部署的Docker镜像。其核心功能是每60秒在/home/sysdig-fargate-test/目录下写入包含当前日期的测试文件sysdig-fargate-test.file，通过检测该文件的写入活动，确认Sysdig Fargate监控部署是否成功。

核心功能与特性

• 定期文件写入：每60秒自动生成并写入测试文件，内容包含当前日期，提供持续的活动源用于监控检测。
• 路径固定：测试文件路径固定为/home/sysdig-fargate-test/sysdig-fargate-test.file，便于配置监控规则。
• 轻量验证：专注于基础文件写入操作，无额外依赖，确保验证过程简单可靠。

使用场景

适用于Sysdig Fargate部署完成后，验证监控链路（包括工作负载和编排组件）是否正常工作，确保容器活动能被Sysdig Agent正确捕获并上报。

使用方法与配置

部署容器

将该容器作为Fargate任务部署到目标集群，确保其运行在已配置Sysdig Fargate Agent的环境中。容器启动后会自动开始每60秒写入测试文件。

配置Falco规则

为检测测试文件的写入活动，需创建自定义Falco规则。以下是推荐规则配置：

yaml
- rule: "Sysdig Fargate部署验证测试"
  desc: "用于测试Sysdig Fargate部署是否成功，确保通过工作负载和编排组件能够检测到活动。"
  condition: "open_write and evt.dir=< and fd.directory=/home/sysdig-fargate-test and fd.filename=sysdig.fargate.test.file"
  output: "恭喜！您的Sysdig Fargate安装成功。我们已按预期从'%container.name'容器中检测到'%fd.filename'文件被写入'%fd.directory'目录。请检查'agent.tag.cluster'及相关AWS增强信息（如aws.fargate.cluster.arn），确保与您的环境匹配。"
  priority: "NOTICE"
  tags: []
  source: "syscall"
  append: false

规则说明

• rule：规则名称，标识此规则用于部署验证。
• desc：规则描述，说明规则用途。
• condition：检测条件，当满足open_write（文件写入）、事件方向为进入（evt.dir=<）、文件目录为/home/sysdig-fargate-test且文件名为sysdig.fargate.test.file时触发。
• output：触发时输出的信息，包含成功提示及环境验证建议。
• priority：优先级设为NOTICE，确保事件能被正常捕获并显示。

验证部署成功

1. 部署容器后，等待至少60秒，确保测试文件已被写入。
2. 在Sysdig事件 feed中查看是否出现上述规则触发的事件。
3. 若事件正常显示，说明Sysdig Fargate部署成功；反之，需检查Agent配置及集群连接。

注意事项

• 验证成功后，可停止该容器任务，部署实际工作负载。
• 确保容器运行的Fargate集群已正确配置Sysdig Agent，且网络策略允许监控流量传输。