Параметры Helm

enable (boolean: false) — установка параметра в значение true активирует Политики безопасности подов для StarVault и StarVault Agent Injector.

annotations (dictionary: {}) — это значение задает дополнительные аннотации, которые нужно добавить к Политикам безопасности подов. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  seccomp.security.alpha.kubernetes.io/allowedProfileNames: docker/default,runtime/default
  apparmor.security.beta.kubernetes.io/allowedProfileNames: runtime/default
  seccomp.security.alpha.kubernetes.io/defaultProfileName:  runtime/default
  apparmor.security.beta.kubernetes.io/defaultProfileName:  runtime/default
# или
annotations:
  seccomp.security.alpha.kubernetes.io/allowedProfileNames: docker/default,runtime/default
  apparmor.security.beta.kubernetes.io/allowedProfileNames: runtime/default
  seccomp.security.alpha.kubernetes.io/defaultProfileName:  runtime/default
  apparmor.security.beta.kubernetes.io/defaultProfileName:  runtime/default

prometheusOperator (boolean: false) — установка параметра в значение true активирует интеграцию с Prometheus Operator. Убедитесь, что настроен верхнеуровневый раздел serverTelemetry для получения дополнительной информации и необходимых значений конфигурации.

secretName (string: "") — имя секрета Kubernetes, в котором содержится корпоративная лицензия. Секрет должен находиться в том же пространстве имен, где установлен StarVault.

secretKey (string: "license") — Ключ в секрете Kubernetes, в котором содержится корпоративная лицензия.

repository (string: "oci://hub.orionsoft.ru/public/starvault") — имя образа Docker для контейнеров, в которых запущен StarVault.

tag (string: "1.4.0") — Тег образа Docker для контейнеров, в которых запущен StarVault. При работе в боевой среде должен быть привязан к конкретной версии. В противном случае другие изменения, внесенные в чарт, могут непроизвольно привести к обновлению контроллера допуска

pullPolicy (string: "IfNotPresent") — Политика извлечения для образов контейнеров. По умолчанию политика извлечения IfNotPresent — Kubelet пропускает шаг извлечения образа, если тот уже существует.

enabled (boolean: false) —  Установка параметра в значение true создаст сервис Ingress.

labels (dictionary: {}) — Метки для сервиса Ingress.

annotations (dictionary: {}) — это значение задает дополнительные аннотации, которые нужно добавить к сервису Ingress. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  kubernetes.io/ingress.class: nginx
  kubernetes.io/tls-acme: "true"
# или
annotations: |
  kubernetes.io/ingress.class: nginx
  kubernetes.io/tls-acme: "true"

enabled (boolean: false) — установка параметра в значение true создаст маршрут Route для StarVault.

activeService (boolean: true) — когда включен режим высокой доступности и используется регистрация в сервисе K8s, этот параметр настраивает маршрут так, чтобы тот указывал на активный сервис StarVault.

labels (dictionary: {}) — Метки для Route

annotations (dictionary: {}) — Аннотации для добавления к Route. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

host (string: "chart-example.local") — параметр задает имя хоста для Route.

tls (dictionary: {termination: passthrough}) — Файл конфигурации TLS будет передан напрямую в файл конфигурации TLS маршрута, который можно использовать для настройки других методов терминирования, с помощью которых TLS терминируется на маршрутизатор.

enabled (boolean: true) — установка параметра в значение true привяжет объект Cluster Role Binding к служебной учетной записи StarVault. У объекта Cluster Role Binding есть необходимые права для того, чтобы StarVault мог использовать метод аутентификации Kubernetes.

enabled (boolean: true) — установка параметра в значение true применит пробу готовности к подам StarVault.

path (string: "") — установка параметра в конкретное значение активирует пробы HTTP/HTTPS вместо используемой по умолчанию пробы exec. Схема http/https контролируется значением tlsDisable.

failureThreshold (int: 2) — установка параметра в конкретное значение определяет, сколько неудачных проб допускает Kubernetes.

initialDelaySeconds (int: 5) — установка параметра в конкретное значение определяет количество секунд после запуска контейнера и до инициализации пробы.

periodSeconds (int: 5) — установка параметра в конкретное значение определяет, через какие интервалы (в секундах) брать пробу.

successThreshold (int: 1) — установка параметра в конкретное значение определяет, через какое минимальное число удачных проб, взятых после неудачной, проба снова считается адекватной.

timeoutSeconds (int: 3) — установка параметра в конкретное значение определяет, через сколько секунд проба считается неудачной.

port (int: 8200) — установка параметра в конкретное значение переопределяет порт по умолчанию, в используемый для пробы готовности сервера.

readinessProbe:
  enabled: true
  path: /v1/sys/health?standbyok=true
  failureThreshold: 2
  initialDelaySeconds: 5
  periodSeconds: 5
  successThreshold: 1
  timeoutSeconds: 3
  port: 8200

enabled (boolean: false) — установка параметра в значение true применит пробу жизнеспособности к подам StarVault.

path (string: "v1/sys/health?standbyok=true") —  Установка параметра в конкретное значение активирует пробы HTTP/HTTPS вместо используемой по умолчанию пробы exec. Схема http/https контролируется значением tlsDisable.

initialDelaySeconds (int: 60) — Задает изначальное время задержки для пробы жизнеспособности при запуске контейнера.

failureThreshold (int: 2) — установка параметра в конкретное значение определяет, сколько неудачных проб допускает Kubernetes.

periodSeconds (int: 5) — установка параметра в конкретное значение определяет, через какие интервалы (в секундах) брать пробу.

successThreshold (int: 1) — установка параметра в конкретное значение определяет, через какое минимальное число удачных проб, взятых после неудачной, проба снова считается адекватной.

timeoutSeconds (int: 3) — установка параметра в конкретное значение определяет, через сколько секунд проба считается неудачной.

port (int: 8200) — установка параметра в конкретное значение переопределяет порт по умолчанию, в используемый для пробы жизнеспособности сервера.

livenessProbe:
  enabled: true
  path: /v1/sys/health?standbyok=true
  initialDelaySeconds: 60
  failureThreshold: 2
  periodSeconds: 5
  successThreshold: 1
  timeoutSeconds: 3
  port: 8200

envName (string: required) — имя переменной окружения, которую нужно заполнить в контейнере StarVault.

secretName (string: required) — имя секрета Kubernetes, используемого для заполнения переменной окружения, заданной с помощью envName.

secretKey (string: required) — имя ключа, в котором находится запрашиваемое секретное значение в секрете Kubernetes.

extraSecretEnvironmentVars:
  - envName: AWS_SECRET_ACCESS_KEY
    secretName: starvault
    secretKey: AWS_SECRET_ACCESS_KEY

type (string: required) — тип тома, должен быть либо configMap, либо secret. С учетом регистра.

name (string: required) — имя тома configMap или secret, который будет монтироваться. Параметр также контролирует путь монтирования. По умолчанию том будет монтироваться по пути /starvault/userconfig/<имя>, если только не задано значение для параметра path.

path (string: /starvault/userconfigs) — имя пути, по которому монтируется том configMap или secret. Если значение параметра не задано, том будет монтироваться по пути /starvault/userconfig/<имя тома>.

defaultMode (string: "420") — Режим по умолчанию для смонтированных файлов.

extraVolumes:
  - type: 'secret'
    name: 'starvault-certs'
    path: '/etc/pki'

enabled (boolean: false) — установка параметра в значение true активирует политику Network Policy для кластера StarVault.

egress (array: []) — это значение задает правила сетевой политики egress.

egress:
  - to:
      - ipBlock:
          cidr: 10.0.0.0/24
    ports:
      - protocol: TCP
        port: 8200

enabled (boolean: true) — установка параметра в значение true создаст сервис Kubernetes для StarVault.

active — значения, которые применяются только к сервису starvault-active.

standby — значения, которые применяются только к сервису starvault-standby.

clusterIP (string) — clusterIP контролирует, назначен ли IP-адрес (кластера) сервису StarVault внутри Kubernetes. По умолчанию IP-адрес кластера для сервиса StarVault будет установлен в значение None и, следовательно, будет отключен. Если IP-адрес отключен, Kubernetes создаст headless-сервис. Headless-сервисы можно использовать, чтобы связываться с подами напрямую через DNS, не задействуя балансировщик нагрузки.

type (string: "ClusterIP") — параметр задает тип создаваемого сервиса, например, NodePort.

externalTrafficPolicy (string: "Cluster") — параметр externalTrafficPolicy можно установить в значение Cluster или Local и он действителен только для типов сервисов LoadBalancer и NodePort.

port (int: 8200) — порт, который прослушивается сервером StarVault внутри пода.

targetPort (int: 8200) — порт, который прослушивается сервисом.

nodePort (int:) — когда тип установлен в значение NodePort, привязанный к узлу порт можно настроить, используя это значение. Если значение не выбрано, будет назначен произвольный порт.

activeNodePort (int:) — (при включенном режиме высокой доступности) если тип установлен в значение NodePort, то для сервиса active можно задать конкретное значение nodePort, а если не задан, то будет выбрано произвольное значение.

standbyNodePort (int:) — (при включенном режиме высокой доступности) если тип установлен в значение NodePort, то для сервиса standby можно задать конкретное значение nodePort, а если не задан, то будет выбрано произвольное значение.

publishNotReadyAddresses (boolean: true) — если значение true, то не ждите, пока поды будут готовы, а сразу добавляйте их в таргеты сервиса. Не применяется для headless-сервиса, который используется для взаимодействия внутри кластера.

instanceSelector

annotations (dictionary: {}) — это значение задает дополнительные аннотации для сервиса. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  "sample/annotation1": "foo"
  "sample/annotation2": "bar"
# или
annotations: |
  "sample/annotation1": "foo"
  "sample/annotation2": "bar"

create (boolean: true): если значение true, создается служебная учетная запись, которую использует StarVault.

name (string: ""): имя служебной учетной записи, которая будет использоваться. Если значение этого параметра не задано, а параметр «create» установлен в значение true, то имя генерируется с использованием имени установки (по умолчанию это starvault).

annotations (dictionary: {}) — это значение задает дополнительные аннотации для служебной учетной записи. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  "sample/annotation1": "foo"
  "sample/annotation2": "bar"
# или
annotations: |
  "sample/annotation1": "foo"
  "sample/annotation2": "bar"

extraLabels (dictionary: {}) — это значение задает дополнительные метки для служебной учетной записи сервера StarVault.

extraLabels:
  'sample/label1': 'foo'
  'sample/label2': 'bar'

serviceDiscovery — значения задают разрешения, которые нужны серверу StarVault, чтобы автоматически обнаруживать кластер StarVault и присоединяться к нему с помощью метаданных пода.

enabled (boolean: true) — параметр разрешает создание постоянного тома для хранения данных StarVault в ситуациях, когда не используется внешний сервис хранения.

size (string: 10Gi) — размер тома, создаваемого для хранения данных StarVault в ситуациях, когда не используется внешний сервис хранения.

storageClass (string: null) — имя класса хранилища, которое будет использоваться при создании тома хранения данных.

mountPath (string: /starvault/data) — параметр задает путь в поде StarVault, где будет монтироваться хранилище данных.

accessMode (string: ReadWriteOnce) — тип доступа к устройству хранения.

annotations (dictionary: {}) — это значение задает дополнительные аннотации, которые нужно добавить к запросу на постоянный том (PVC) для хранения данных. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  kubernetes.io/my-pvc: foobar
# или
annotations: |
  kubernetes.io/my-pvc: foobar

enabled (boolean: false) — параметр разрешает создание постоянного тома для хранения журналов аудита StarVault.

size (string: 10Gi) — размер тома, создаваемый для журналов аудита StarVault.

storageClass (string: null) — имя класса хранилища, которое будет использоваться при создании тома хранения журналов аудита.

mountPath (string: /starvault/audit) — параметр задает путь в поде StarVault, где будет монтироваться хранилище журналов аудита.

accessMode (string: ReadWriteOnce) — тип доступа к устройству хранения.

annotations (dictionary: {}) — это значение задает дополнительные аннотации, которые нужно добавить к запросу на постоянный том (PVC) для хранения журналов аудита. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  kubernetes.io/my-pvc: foobar
# или
annotations: |
  kubernetes.io/my-pvc: foobar

enabled (boolean: false) — параметр включает режим dev для кластера StarVault. Этот режим полезен, чтобы поэкспериментировать с StarVault без необходимости распечатывания.

devRootToken (string: "root") — параметр задает корневой токен для сервера врежиме разработки StarVault.

enabled (boolean: true) — параметр включает режим standalone для сервера StarVault. Этот режим использует бэкенд хранения file, и ему нужен том для постоянного хранения (dataStorage).

config (string or object: "{}") — неформатированная строка для дополнительного конфигурирования HCL или JSON для серверов StarVault. Строка будет сохранена «как есть» в ConfigMap, читаемый серверами StarVault. Так можно добавлять дополнительные настройки, которые чарт не выдал напрямую. Объект будет записан как JSON.

config: |
  api_addr = "http://POD_IP:8200"

  listener "tcp" {
    tls_disable = 1
    address     = "0.0.0.0:8200"
  }

  storage "file" {
    path = "/starvault/data"
  }

--set server.standalone.config='{ listener "tcp" { address = "0.0.0.0:8200" }'

enabled (boolean: false) — параметр включает режим ha для сервера StarVault. В этом режиме для хранения данных StarVault используется бэкенд хранения высокой доступности.

apiAddr: (string: "{}") — параметр задает конфигурацию адресов API для кластера StarVault. Если задана пустая строка, то используется IP-адрес пода.

clusterAddr (string: null) — задает конфигурацию cluster_addr для StarVault HA. Если значение равно 0, то по умолчанию https://$(HOSTNAME).{{ template "starvault.fullname" . }}-internal:8201.

setNodeId (boolean: false) — параметр присваивает имени пода значение, взятое из Node Raft ID.

replicas (int: 3) — количество подов, которое надо развернуть для создания высокодоступного кластера из серверов StarVault.

updatePartition (int: 0) — если задан параметр updatePartition, то все поды с порядковым номером, который больше или равен разделу (partition), будут обновлены, как только в контроллере StatefulSet обновится параметр .spec.template. Установка параметра в значение 0 отключает все обновления разделов.

config: |
  ui = true
  api_addr = "http://POD_IP:8200"
  listener "tcp" {
      tls_disable = 1
      address     = "0.0.0.0:8200"
  }

  storage "raft" {
      path = "/starvault/data"
  }

--set server.ha.config='{ listener "tcp" { address = "0.0.0.0:8200" }'

enabled (boolean: true) — активирует политику в отношении допустимого количества неработающих подов, чтобы ограничить количество подов, которые могут быть целенаправленно одновременно отключены.

maxUnavailable (int: null) — максимальное количество недоступных подов. По умолчанию это количество будет автоматически подсчитано, исходя из того, что значение параметра server.replicas равно (n/2)-1. Если нужно установить этот параметр в 0, в команду установки helm-чарта следует добавить флаг --set server.disruptionBudget.maxUnavailable=0, что вызвано ограничением в языке Helm-шаблонизации.

annotations (dictionary: {}) — это значение задает дополнительные аннотации, которые нужно добавить к StarVault statefulset. Это может быть либо YAML, либо многострочная шаблонная цепочка символов в формате YAML.

annotations:
  kubernetes.io/my-statefulset: foobar
# или
annotations: |
  kubernetes.io/my-statefulset: foobar

pod (dictionary: {}) — параметр задает securityContext для подов сервера на языке YAML либо в виде многострочной шаблонной цепочки символов в формате YAML.
Если не задан и global.openshift=false, то по умолчанию берутся следующие значения:

runAsNonRoot: true
runAsGroup: {{ .Values.server.gid | default 1000 }}
runAsUser: {{ .Values.server.uid | default 100 }}
fsGroup: {{ .Values.server.gid | default 1000 }}

container (dictionary: {}) — параметр задает securityContext для контейнеров сервера на языке YAML либо в виде многострочной шаблонной цепочки символов в формате YAML.
Если не задан и global.openshift=false, то по умолчанию берется значение:

allowPrivilegeEscalation: false

enabled (boolean: false) — установка параметра в значение true активирует развертывание ServiceMonitor CustomResource на сервере StarVault. Оператор Prometheus должен быть установлен до того, как эта функция будет включена. В противном случае не получится установить чарт из-за отсутствия ресурса CustomResourceDefinitions, который предоставляет оператор.

selectors (dictionary: {}) — метки селектора для добавления к ServiceMonitor.

interval (string: "30s") — интервал, через который Prometheus собирает метрики.

scrapeTimeout (string: "10s") — таймаут для процедур сбора с помощью Prometheus.

enabled (boolean: false) — параметр развертывает пользовательский ресурс PrometheusRule для оповещений через AlertManager. Требуется надлежащим образом развернутый AlertManager.

selectors (dictionary: {}) — метки селектора для добавления к правилам Prometheus.

rules (array: []) — правила Prometheus, которые надо создать.

rules:
  - alert: starvault-HighResponseTime
    annotations:
      message: The response time of StarVault is over 500ms on average over the last 5 minutes.
    expr: starvault_core_handle_request{quantile="0.5", namespace="mynamespace"} > 500
    for: 5m
    labels:
      severity: warning
  - alert: starvault-HighResponseTime
    annotations:
      message: The response time of StarVault is over 1s on average over the last 5 minutes.
    expr: starvault_core_handle_request{quantile="0.5", namespace="mynamespace"} > 1000
    for: 5m
    labels:
      severity: critical