aquasec/aqua-operator

Aqua Security Operator 文档

1. 镜像概述

Aqua Security Operator是Aqua Security提供的专为Kubernetes和OpenShift集群设计的运维工具，旨在简化Aqua Security安全组件（如漏洞扫描器、安全策略引擎等）的部署、配置与全生命周期管理。通过Operator模式，将安全解决方案与容器编排平台深度集成，降低企业在容器环境中实施安全防护的复杂度。

2. 核心功能与特性

• 自动化部署：通过Kubernetes自定义资源定义（CRD）自动部署Aqua Security全套安全组件，无需手动配置复杂依赖。
• 生命周期管理：支持安全组件的版本升级、回滚及故障恢复，确保组件运行状态一致性。
• 配置集中化：通过CRD统一管理组件配置参数（如资源限制、网络策略、安全规则等），支持动态配置更新。
• 原生平台集成：适配Kubernetes和OpenShift的原生特性（如RBAC、Namespaces、PVC），遵循容器平台最佳实践。
• 运维简化：减少人工干预，自动化处理组件健康检查、日志收集及告警集成，降低运维成本。

3. 使用场景与适用范围

• 企业容器安全部署：在Kubernetes或OpenShift集群中标准化部署Aqua Security安全解决方案，适用于中大型企业容器环境。
• DevSecOps流程集成：嵌入CI/CD流水线，通过Operator自动化安全组件部署，实现"安全即代码"。
• 多集群管理：支持跨集群统一管理Aqua Security组件，适用于混合云或多云容器平台架构。
• 合规性需求场景：需满足***、***等行业合规要求，通过自动化配置确保安全策略持续生效。

4. 使用方法与配置说明

4.1 前提条件

• Kubernetes集群版本1.19+ 或 OpenShift集群版本4.6+
• 集群管理员权限（需创建CRD、RBAC规则等）
• kubectl或oc命令行工具已配置集群访问权限
• （可选）Helm 3.x（用于通过Helm Chart安装）

4.2 安装步骤

4.2.1 通过kubectl安装

1. 获取官方部署清单：

   bash
   curl -O https://raw.githubusercontent.com/aquasecurity/aqua-operator/main/deploy/aqua-operator.yaml
   

2. 创建命名空间并部署Operator：

   bash
   kubectl create namespace aqua-security
   kubectl apply -f aqua-operator.yaml -n aqua-security
   

4.2.2 通过Helm安装

1. 添加Aqua Security Helm仓库：

   bash
   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update
   

2. 安装Operator：

   bash
   helm install aqua-operator aqua/aqua-operator \
     --namespace aqua-security \
     --create-namespace
   

4.3 配置Aqua Security组件

通过创建Aqua自定义资源配置安全组件，示例配置文件（aqua-config.yaml）：

yaml
apiVersion: aquasecurity.github.io/v1alpha1
kind: Aqua
metadata:
  name: aqua-deployment
  namespace: aqua-security
spec:
  # 组件版本
  version: "4.9"
  # 许可证配置（需提前创建包含许可证的Secret）
  license:
    secretName: aqua-license
  # 核心组件配置
  components:
    server:
      replicas: 2
      resources:
        requests:
          cpu: "1"
          memory: "2Gi"
        limits:
          cpu: "2"
          memory: "4Gi"
    scanner:
      replicas: 3
      resources:
        requests:
          cpu: "500m"
          memory: "1Gi"
  # 存储配置
  storage:
    server:
      persistentVolumeClaim:
        create: true
        size: "10Gi"
        storageClassName: "standard"

应用配置：

bash
kubectl apply -f aqua-config.yaml -n aqua-security

4.4 验证部署

检查Operator运行状态：

bash
kubectl get pods -n aqua-security -l app.kubernetes.io/name=aqua-operator

检查Aqua组件部署状态：

bash
kubectl get aqua -n aqua-security

5. 核心配置参数

6. 卸载方法

6.1 通过kubectl卸载

bash
# 删除Aqua资源及Operator
kubectl delete aqua --all -n aqua-security
kubectl delete -f aqua-operator.yaml -n aqua-security

# 清理CRD（可选，会删除所有相关资源）
kubectl delete crd aquas.aquasecurity.github.io

6.2 通过Helm卸载

bash
helm uninstall aqua-operator -n aqua-security