From 0db4edbbc30dc7e7986d36311487224079b774b5 Mon Sep 17 00:00:00 2001 From: Haro Date: Tue, 15 Sep 2026 06:51:21 +0000 Subject: [PATCH] [UPDATE][falcov3][1.1.14] Replace the Bitnami OpenResty proxy with official OpenResty and run it as UID/GID 1000 --- falcov3/Chart.yaml | 2 +- falcov3/OlaresManifest.yaml | 15 ++++++++-- falcov3/i18n/de-DE/OlaresManifest.yaml | 38 ++++++++++++++++++++++++++ falcov3/i18n/es-ES/OlaresManifest.yaml | 38 ++++++++++++++++++++++++++ falcov3/i18n/fr-FR/OlaresManifest.yaml | 38 ++++++++++++++++++++++++++ falcov3/i18n/it-IT/OlaresManifest.yaml | 38 ++++++++++++++++++++++++++ falcov3/i18n/ja-JP/OlaresManifest.yaml | 38 ++++++++++++++++++++++++++ falcov3/owners | 9 ++---- falcov3/templates/falcov3.yaml | 22 +++++++++++++-- 9 files changed, 226 insertions(+), 12 deletions(-) create mode 100644 falcov3/i18n/de-DE/OlaresManifest.yaml create mode 100644 falcov3/i18n/es-ES/OlaresManifest.yaml create mode 100644 falcov3/i18n/fr-FR/OlaresManifest.yaml create mode 100644 falcov3/i18n/it-IT/OlaresManifest.yaml create mode 100644 falcov3/i18n/ja-JP/OlaresManifest.yaml diff --git a/falcov3/Chart.yaml b/falcov3/Chart.yaml index 424afe850..609ea29ab 100644 --- a/falcov3/Chart.yaml +++ b/falcov3/Chart.yaml @@ -3,4 +3,4 @@ appVersion: '0.43.0' description: Cloud Native Runtime Security tool for Linux operating systems. name: falcov3 type: application -version: 1.1.7 +version: 1.1.14 \ No newline at end of file diff --git a/falcov3/OlaresManifest.yaml b/falcov3/OlaresManifest.yaml index 468b619c7..bc7a635ce 100644 --- a/falcov3/OlaresManifest.yaml +++ b/falcov3/OlaresManifest.yaml @@ -6,10 +6,13 @@ metadata: description: Cloud Native Runtime Security tool for detecting abnormal behavior. icon: https://app.cdn.olares.com/appstore/falco/icon.png appid: falcov3 - version: '1.1.7' + version: '1.1.14' title: Falco categories: - - Developer Tools + - Developer Tools + - developer + tags: + - security entrances: - authLevel: internal @@ -58,6 +61,9 @@ spec: Note: Falco is a kernel-level security daemon. It requires privileged access to function properly and may have limitations in standard container environments. upgradeDescription: | + Run the OpenResty entrance as uid/gid 1000 and move its PID, logs, and + temporary request paths to writable locations. + Switch the reverse-proxy image from Bitnami OpenResty (`beclab/aboveos-bitnami-openresty:1.25.3-2`) to the official OpenResty image `openresty/openresty:1.29.2.5-bookworm-fat`. Align nginx config mounts and log paths with the official image layout (`/etc/nginx/conf.d/default.conf`, `/usr/local/openresty/nginx/logs/...`), and drop Bitnami-specific `OPENRESTY_CONF_FILE` wiring. @@ -84,6 +90,11 @@ spec: locale: - en-US - zh-CN + - de-DE + - es-ES + - it-IT + - fr-FR + - ja-JP doc: https://falco.org/docs/ license: - text: Apache-2.0 diff --git a/falcov3/i18n/de-DE/OlaresManifest.yaml b/falcov3/i18n/de-DE/OlaresManifest.yaml new file mode 100644 index 000000000..1c0b98024 --- /dev/null +++ b/falcov3/i18n/de-DE/OlaresManifest.yaml @@ -0,0 +1,38 @@ +metadata: + title: Falco + description: Cloud-natives Runtime-Security-Tool zur Erkennung anormalen Verhaltens +spec: + fullDescription: | + **WICHTIGER HINWEIS** + Dies ist eine Shared App. Es wird nur ein Dienst systemweit in Olares installiert. Jeder Nutzer muss dennoch einen Desktop-Eintrag installieren, um den vom Olares Admin installierten Dienst zu nutzen. + + **ÜBERSICHT** + Falco ist ein Cloud-Native-Runtime-Security-Tool für Linux-Betriebssysteme. Es erkennt und meldet anormales Verhalten und potenzielle Sicherheitsbedrohungen in Echtzeit. + + Im Kern ist Falco ein Kernel-Monitoring- und Detection-Agent, der Ereignisse wie Syscalls anhand benutzerdefinierter Regeln beobachtet. Falco kann diese Ereignisse durch Metadaten aus der Container-Runtime und Kubernetes anreichern. + + **Funktionen** + * Echtzeit-Bedrohungserkennung basierend auf Syscall-Monitoring + * Benutzerdefinierte Regel-Engine zur Definition von Sicherheitsrichtlinien + * Container- und Kubernetes-bewusst mit Metadaten-Anreicherung + * Unterstützung des modernen eBPF-Treibers (kein Kernelmodul erforderlich) + * Plugin-System zur Erweiterung der Datenquellen + * Mehrere Ausgabe-Kanäle: stdout, Datei, syslog, HTTP, gRPC + * Prometheus-Metrik-Endpunkt + * CNCF-graduiertes Projekt, in Produktion bei verschiedenen Organisationen im Einsatz + * Health-Check-API zur Überwachung des Falco-Status + + Note: Falco ist ein Security-Daemon auf Kernel-Ebene. Es benötigt privilegierten Zugriff und kann in Standard-Containerumgebungen Einschränkungen haben. + upgradeDescription: | + Switch des Reverse-Proxy-Images von Bitnami OpenResty (`beclab/aboveos-bitnami-openresty:1.25.3-2`) auf das offizielle OpenResty-Image `openresty/openresty:1.29.2.5-bookworm-fat`. + + Nginx-Config-Mounts und Log-Pfade an das Layout des offiziellen Images anpassen (`/etc/nginx/conf.d/default.conf`, `/usr/local/openresty/nginx/logs/...`) und Bitnami-spezifische `OPENRESTY_CONF_FILE`-Verdrahtung entfernen. + + + Falco auf das apiVersion-v3 Shared-App-Muster migriert (falco → falcov3). + + **Änderungen** + + - **Architektur**: falco-/falcoserver-Subcharts zu einem Chart zusammengeführt; nginx-Entrance Deployment/Service in falcov3 umbenannt, damit die appid für die v3-Workload-Verifikation passt. + - **Skalierung**: `workloadReplicas` für die falcov3-Entrance- und falco-central-Workloads. + - **Runtime**: Falco 0.43.0, falcosidekick 2.33.0, falcosidekick-ui 2.3.0. diff --git a/falcov3/i18n/es-ES/OlaresManifest.yaml b/falcov3/i18n/es-ES/OlaresManifest.yaml new file mode 100644 index 000000000..e7ffa485c --- /dev/null +++ b/falcov3/i18n/es-ES/OlaresManifest.yaml @@ -0,0 +1,38 @@ +metadata: + title: Falco + description: Herramienta de seguridad en tiempo de ejecución cloud native para detectar comportamiento anormal +spec: + fullDescription: | + **NOTA IMPORTANTE** + Esta es una app compartida. Solo se instalará un servicio en todo el sistema Olares. Sin embargo, cada usuario debe instalar una entrada de escritorio para acceder y usar el servicio instalado por el Admin de Olares. + + **RESUMEN** + Falco es una herramienta de seguridad en tiempo de ejecución cloud native para sistemas operativos Linux. Está diseñada para detectar y alertar sobre comportamientos anormales y posibles amenazas de seguridad en tiempo real. + + En su núcleo, Falco es un agente de monitorización y detección del kernel que observa eventos, como syscalls, según reglas personalizadas. Falco puede enriquecer estos eventos integrando metadatos del runtime de contenedores y Kubernetes. + + **Funciones** + * Detección de amenazas en tiempo real basada en monitorización de syscalls + * Motor de reglas personalizado para definir políticas de seguridad + * Consciente de contenedores y Kubernetes con enriquecimiento de metadatos + * Soporte del driver eBPF moderno (sin módulo de kernel requerido) + * Sistema de plugins para extender fuentes de datos + * Múltiples canales de salida: stdout, archivo, syslog, HTTP, gRPC + * Endpoint de métricas Prometheus + * Proyecto graduado de CNCF usado en producción por diversas organizaciones + * API de health check para monitorizar el estado de Falco + + Note: Falco es un demonio de seguridad a nivel de kernel. Requiere acceso privilegiado para funcionar correctamente y puede tener limitaciones en entornos de contenedor estándar. + upgradeDescription: | + Cambiar la imagen del reverse-proxy de Bitnami OpenResty (`beclab/aboveos-bitnami-openresty:1.25.3-2`) a la imagen oficial OpenResty `openresty/openresty:1.29.2.5-bookworm-fat`. + + Alinear montajes de configuración nginx y rutas de logs con el diseño de la imagen oficial (`/etc/nginx/conf.d/default.conf`, `/usr/local/openresty/nginx/logs/...`), y eliminar el cableado específico de Bitnami `OPENRESTY_CONF_FILE`. + + + Migración de Falco al patrón de app compartida apiVersion v3 (falco → falcov3). + + **Cambios** + + - **Arquitectura**: se aplanaron los subcharts falco/falcoserver en un solo chart; se renombraron el Deployment/Service de entrada nginx a falcov3 para coincidir con el appid en la verificación de workloads v3. + - **Escalado**: `workloadReplicas` para los workloads de entrada falcov3 y falco-central. + - **Runtime**: Falco 0.43.0, falcosidekick 2.33.0, falcosidekick-ui 2.3.0. diff --git a/falcov3/i18n/fr-FR/OlaresManifest.yaml b/falcov3/i18n/fr-FR/OlaresManifest.yaml new file mode 100644 index 000000000..0e51c4c6b --- /dev/null +++ b/falcov3/i18n/fr-FR/OlaresManifest.yaml @@ -0,0 +1,38 @@ +metadata: + title: Falco + description: Outil de sécurité runtime cloud native pour détecter les comportements anormaux +spec: + fullDescription: | + **NOTE IMPORTANTE** + Il s’agit d’une app partagée. Un seul service sera installé sur l’ensemble du système Olares. Chaque utilisateur doit néanmoins installer une entrée bureau pour accéder et utiliser le service installé par l’Admin Olares. + + **APERÇU** + Falco est un outil de sécurité runtime cloud native pour les systèmes d’exploitation Linux. Il est conçu pour détecter et alerter sur des comportements anormaux et des menaces de sécurité potentielles en temps réel. + + À son cœur, Falco est un agent de surveillance et de détection du noyau qui observe des événements, comme les syscalls, selon des règles personnalisées. Falco peut enrichir ces événements en intégrant des métadonnées du runtime de conteneurs et de Kubernetes. + + **Fonctionnalités** + * Détection de menaces en temps réel basée sur la surveillance des syscalls + * Moteur de règles personnalisé pour définir des politiques de sécurité + * Conscient des conteneurs et de Kubernetes avec enrichissement de métadonnées + * Prise en charge du driver eBPF moderne (aucun module noyau requis) + * Système de plugins pour étendre les sources de données + * Plusieurs canaux de sortie : stdout, fichier, syslog, HTTP, gRPC + * Endpoint de métriques Prometheus + * Projet CNCF gradué utilisé en production par diverses organisations + * API de health check pour surveiller l’état de Falco + + Note : Falco est un démon de sécurité au niveau du noyau. Il nécessite un accès privilégié pour fonctionner correctement et peut avoir des limitations dans les environnements de conteneurs standard. + upgradeDescription: | + Remplacement de l’image reverse-proxy Bitnami OpenResty (`beclab/aboveos-bitnami-openresty:1.25.3-2`) par l’image officielle OpenResty `openresty/openresty:1.29.2.5-bookworm-fat`. + + Aligner les montages de config nginx et les chemins de logs sur la disposition de l’image officielle (`/etc/nginx/conf.d/default.conf`, `/usr/local/openresty/nginx/logs/...`), et supprimer le câblage Bitnami `OPENRESTY_CONF_FILE`. + + + Migration de Falco vers le schéma d’app partagée apiVersion v3 (falco → falcov3). + + **Changements** + + - **Architecture** : fusion des sous-charts falco/falcoserver en un seul chart ; renommage du Deployment/Service d’entrée nginx en falcov3 pour correspondre à l’appid pour la vérification des workloads v3. + - **Mise à l’échelle** : `workloadReplicas` pour les workloads d’entrée falcov3 et falco-central. + - **Runtime** : Falco 0.43.0, falcosidekick 2.33.0, falcosidekick-ui 2.3.0. diff --git a/falcov3/i18n/it-IT/OlaresManifest.yaml b/falcov3/i18n/it-IT/OlaresManifest.yaml new file mode 100644 index 000000000..2d9ec8f7d --- /dev/null +++ b/falcov3/i18n/it-IT/OlaresManifest.yaml @@ -0,0 +1,38 @@ +metadata: + title: Falco + description: Strumento di runtime security cloud native per rilevare comportamenti anomali +spec: + fullDescription: | + **NOTA IMPORTANTE** + Questa è un’app condivisa. Verrà installato un solo servizio in tutto il sistema Olares. Tuttavia ogni utente deve comunque installare una voce desktop per accedere e usare il servizio installato dall’Admin Olares. + + **PANORAMICA** + Falco è uno strumento di runtime security cloud native per sistemi operativi Linux. È progettato per rilevare e segnalare comportamenti anomali e potenziali minacce di sicurezza in tempo reale. + + Nel nucleo, Falco è un agente di monitoraggio e detection del kernel che osserva eventi, come le syscall, in base a regole personalizzate. Falco può arricchire questi eventi integrando metadati dal runtime dei container e da Kubernetes. + + **Funzionalità** + * Rilevamento minacce in tempo reale basato sul monitoraggio delle syscall + * Motore di regole personalizzato per definire policy di sicurezza + * Consapevole di container e Kubernetes con arricchimento dei metadati + * Supporto del driver eBPF moderno (nessun modulo kernel richiesto) + * Sistema di plugin per estendere le fonti dati + * Canali di output multipli: stdout, file, syslog, HTTP, gRPC + * Endpoint metriche Prometheus + * Progetto CNCF graduated usato in produzione da varie organizzazioni + * API health check per monitorare lo stato di Falco + + Note: Falco è un demone di sicurezza a livello kernel. Richiede accesso privilegiato per funzionare correttamente e può avere limitazioni negli ambienti container standard. + upgradeDescription: | + Passaggio dell’immagine reverse-proxy da Bitnami OpenResty (`beclab/aboveos-bitnami-openresty:1.25.3-2`) all’immagine ufficiale OpenResty `openresty/openresty:1.29.2.5-bookworm-fat`. + + Allineare i mount della config nginx e i percorsi dei log al layout dell’immagine ufficiale (`/etc/nginx/conf.d/default.conf`, `/usr/local/openresty/nginx/logs/...`) e rimuovere il wiring Bitnami-specifico `OPENRESTY_CONF_FILE`. + + + Migrazione di Falco al pattern shared-app apiVersion v3 (falco → falcov3). + + **Cosa è cambiato** + + - **Architettura**: subchart falco/falcoserver uniti in un unico chart; Deployment/Service dell’ingresso nginx rinominati in falcov3 per allinearsi all’appid nella verifica workload v3. + - **Scaling**: `workloadReplicas` per i workload di ingresso falcov3 e falco-central. + - **Runtime**: Falco 0.43.0, falcosidekick 2.33.0, falcosidekick-ui 2.3.0. diff --git a/falcov3/i18n/ja-JP/OlaresManifest.yaml b/falcov3/i18n/ja-JP/OlaresManifest.yaml new file mode 100644 index 000000000..58dccdf41 --- /dev/null +++ b/falcov3/i18n/ja-JP/OlaresManifest.yaml @@ -0,0 +1,38 @@ +metadata: + title: Falco + description: 異常動作を検出するクラウドネイティブなランタイムセキュリティツール +spec: + fullDescription: | + **重要なお知らせ** + これは共有アプリです。Olares システム全体にサービスは 1 つだけインストールされます。ただし、各ユーザーは Olares Admin がインストールしたサービスにアクセス・利用するため、デスクトップエントリをインストールする必要があります。 + + **概要** + Falco は Linux オペレーティングシステム向けのクラウドネイティブなランタイムセキュリティツールです。異常な動作や潜在的なセキュリティ脅威をリアルタイムで検出・アラートするよう設計されています。 + + コアでは、Falco はカスタムルールに基づき syscall などのイベントを監視するカーネル監視・検出エージェントです。コンテナランタイムや Kubernetes のメタデータを統合してこれらのイベントを強化できます。 + + **機能** + * syscall 監視に基づくリアルタイム脅威検出 + * セキュリティポリシーを定義するカスタムルールエンジン + * メタデータ強化によるコンテナ／Kubernetes 対応 + * モダンな eBPF ドライバーのサポート（カーネルモジュール不要） + * データソース拡張のためのプラグインシステム + * 複数の出力チャネル: stdout、ファイル、syslog、HTTP、gRPC + * Prometheus メトリクスエンドポイント + * さまざまな組織の本番環境で使われる CNCF graduated プロジェクト + * Falco ステータス監視用ヘルスチェック API + + Note: Falco はカーネルレベルのセキュリティデーモンです。正常動作には特権アクセスが必要で、標準的なコンテナ環境では制限がある場合があります。 + upgradeDescription: | + リバースプロキシイメージを Bitnami OpenResty（`beclab/aboveos-bitnami-openresty:1.25.3-2`）から公式 OpenResty イメージ `openresty/openresty:1.29.2.5-bookworm-fat` へ切り替え。 + + nginx 設定マウントとログパスを公式イメージのレイアウト（`/etc/nginx/conf.d/default.conf`、`/usr/local/openresty/nginx/logs/...`）に合わせ、Bitnami 固有の `OPENRESTY_CONF_FILE` 配線を削除。 + + + Falco を apiVersion v3 共有アプリパターンへ移行（falco → falcov3）。 + + **変更点** + + - **アーキテクチャ**: falco/falcoserver サブチャートを単一チャートに統合。nginx 入口の Deployment/Service を falcov3 に改名し、v3 ワークロード検証の appid に一致。 + - **スケーリング**: falcov3 入口と falco-central ワークロード向けの `workloadReplicas`。 + - **ランタイム**: Falco 0.43.0、falcosidekick 2.33.0、falcosidekick-ui 2.3.0。 diff --git a/falcov3/owners b/falcov3/owners index a47337996..54214d082 100644 --- a/falcov3/owners +++ b/falcov3/owners @@ -1,8 +1,3 @@ owners: -- 'LittleLollipop' -- 'TShentu' -- 'hysyeah' -- 'pengpeng' -- 'harveyff' -- 'zdf-org' -- 'kaki-admin' + - username: '@beclab' + title: 'Olares' diff --git a/falcov3/templates/falcov3.yaml b/falcov3/templates/falcov3.yaml index 130ca1d68..e68e0d591 100644 --- a/falcov3/templates/falcov3.yaml +++ b/falcov3/templates/falcov3.yaml @@ -8,8 +8,14 @@ data: nginx.conf: | server { listen 2802; - access_log /usr/local/openresty/nginx/logs/access.log; - error_log /usr/local/openresty/nginx/logs/error.log; + access_log /dev/stdout; + error_log /dev/stderr; + + client_body_temp_path /tmp/client_body; + proxy_temp_path /tmp/proxy; + fastcgi_temp_path /tmp/fastcgi; + uwsgi_temp_path /tmp/uwsgi; + scgi_temp_path /tmp/scgi; proxy_connect_timeout 30s; proxy_send_timeout 60s; @@ -69,9 +75,19 @@ spec: items: - key: nginx.conf path: nginx.conf + - name: nginx-runtime + emptyDir: {} containers: - name: nginx image: "docker.io/openresty/openresty:1.29.2.5-bookworm-fat" + command: + - /usr/local/openresty/bin/openresty + args: + - -g + - "daemon off; pid /tmp/nginx.pid;" + securityContext: + runAsUser: 1000 + runAsGroup: 1000 ports: - containerPort: 2802 protocol: TCP @@ -99,6 +115,8 @@ spec: - name: nginx-config mountPath: /etc/nginx/conf.d/default.conf subPath: nginx.conf + - name: nginx-runtime + mountPath: /var/run/openresty --- apiVersion: v1