[Документация Yandex Cloud](../../index.md) > [Yandex Security Deck](../index.md) > Вопросы и ответы > Все вопросы на одной странице

# Вопросы и ответы про Security Deck

## Вопросы про модуль KSPM {#kspm}

### 1. Что делать, если уже используется собственная инсталляция Kyverno? {#own-kyverno}

Одним из компонентов модуля [KSPM](../concepts/kspm.md) является [Kyverno](https://kyverno.io/). Если в кластере уже используется собственная инсталляция Kyverno, выберите один из вариантов:

* При [создании](../operations/workspaces/create.md) или [изменении](../operations/workspaces/update.md) окружения в настройках не включайте правила ![cspm-standard-k8s-restricted](../../_assets/security-deck/cspm-standard-k8s-restricted.svg) Kubernetes Pod Security Standards (Restricted) и ![cspm-standard-k8s-baseline](../../_assets/security-deck/cspm-standard-k8s-baseline.svg) Kubernetes Pod Security Standards (Baseline) и продолжайте использовать собственный Kyverno.
* Перейдите с собственного Kyverno на KSPM.
  
  Чтобы выполнить переход:
  
  1. Создайте резервную копию ваших политик.
  1. [Удалите](../../managed-kubernetes/operations/applications/kyverno.md#uninstall) Kyverno.
  1. [Активируйте](../operations/kspm/enable-kspm.md) модуль KSPM.
  1. Добавьте политики в KSPM одним из способов или комбинируйте их:
     
     * [Создайте](../operations/kspm/create-custom-rule.md) пользовательские правила типа Admission на основе ваших политик и [управляйте](../operations/kspm/manage-rule-modes.md) ими через KSPM. В пользовательских правилах доступны только [политики валидации](*validation-policy).

       {% note info %}
       
       В интерфейсе Security Deck не поддерживается автоматический импорт политик Kyverno. Необходимо вручную переформулировать их логику в пользовательские правила KSPM перед добавлением.

       {% endnote %}

     * Разверните собственные политики через Kubernetes API. Поддерживаются любые типы политик. Подробнее — в [документации Kyverno](https://kyverno.io/docs/guides/applying-policies/#via-apis).

### 2. Какие типы политик доступны в пользовательских правилах KSPM? {#custom-policy-types}

В [пользовательских правилах](../concepts/custom-rules.md#kspm-rules) KSPM доступны только [политики валидации](*validation-policy). Другие типы, например [политики мутации](*mutation-policy), [генерации](*generate-policy) или [проверки образов](*verify-images) не поддерживаются.

Подробнее о механизмах валидации и мутации — в [официальной документации Kubernetes](https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers/).

### 3. Можно ли использовать не все компоненты KSPM одновременно? {#partial-components}

Да. Например, чтобы использовать только Runtime Sensor, [включите](../operations/workspaces/update.md) проверки по набору правил [Microsoft Threat Matrix для Kubernetes](../concepts/kspm.md) в настройках окружения.

### 4. Как работает тарификация в случае с прерываемыми рабочими узлами в Kubernetes? {#preemptible-billing}

Тарификация рассчитывается суммарно по модели «рабочий узел в месяц» (или «рабочий узел в час»). Один рабочий узел в месяц может представлять собой:

* один рабочий узел, который работает весь месяц;
* два рабочих узла, каждый из которых работает по половине месяца.

Привязки к конкретным рабочим узлам нет. Остановленные рабочие узлы не тарифицируются.

Подробнее о правилах тарификации в разделе [Правила тарификации Yandex Security Deck](../pricing.md).

### 5. Можно ли исключить из проверки KSPM определенные ресурсы или кластеры? {#exceptions}

Да. В KSPM есть [механизм исключений](../operations/kspm/manage-exceptions.md), который позволяет исключить из проверки выбранные ресурсы Kubernetes или целые кластеры.

### 6. Требует ли KSPM больше ресурсов для установки, чем другие модули Security Deck? {#resource-demand}

Да. Из всех модулей Security Deck только KSPM требует ресурсы внутри рабочих нагрузок. Остальные модули ограничиваются дополнительными правами для коннектора.

Подробнее в разделе [Системные и технические требования](../operations/kspm/requirements.md).

### 7. Какая нагрузка на ресурсы кластера и какие агенты устанавливает KSPM? {#resource-load}

Системные и технические требования к кластерам, рекомендации по ресурсам, а также информация об устанавливаемых агентах и условиях их установки приведены в разделе [Системные и технические требования](../operations/kspm/requirements.md).

[*validation-policy]: #### {#validation}
                      
                      _Политика валидации_ — правило проверки ресурсов Kubernetes на соответствие требованиям безопасности. Относится к типу `Admission` и работает в двух режимах:
                      
                      * `Аудит` — фиксирует нарушения, но не блокирует операцию (режим по умолчанию);
                      * `Блокировка` — отклоняет запрос при несоответствии требованиям.
                      
                      Подробнее в разделе [Управление режимами работы правил контроля безопасности модуля KSPM](../operations/kspm/manage-rule-modes.md)
                      
                      #### {#mutation}
                      
                      _Политика мутации_ — правило, которое корректирует объекты в кластере при их создании или обновлении для соответствия стандартам безопасности.
                      
                      #### {#generate}
                      
                      _Политика генерации_ — правило, которое автоматически создает дополнительные ресурсы в кластере в ответ на появление целевого объекта, например нового пространства имен.
                      
                      #### {#verify-images}
                      
                      _Политика проверки образов_ — правило, которое контролирует образы контейнеров на соответствие требованиям: наличие подписи, допустимость реестра, отсутствие критических уязвимостей.

[*mutation-policy]: #### {#validation}
                    
                    _Политика валидации_ — правило проверки ресурсов Kubernetes на соответствие требованиям безопасности. Относится к типу `Admission` и работает в двух режимах:
                    
                    * `Аудит` — фиксирует нарушения, но не блокирует операцию (режим по умолчанию);
                    * `Блокировка` — отклоняет запрос при несоответствии требованиям.
                    
                    Подробнее в разделе [Управление режимами работы правил контроля безопасности модуля KSPM](../operations/kspm/manage-rule-modes.md)
                    
                    #### {#mutation}
                    
                    _Политика мутации_ — правило, которое корректирует объекты в кластере при их создании или обновлении для соответствия стандартам безопасности.
                    
                    #### {#generate}
                    
                    _Политика генерации_ — правило, которое автоматически создает дополнительные ресурсы в кластере в ответ на появление целевого объекта, например нового пространства имен.
                    
                    #### {#verify-images}
                    
                    _Политика проверки образов_ — правило, которое контролирует образы контейнеров на соответствие требованиям: наличие подписи, допустимость реестра, отсутствие критических уязвимостей.

[*generate-policy]: #### {#validation}
                    
                    _Политика валидации_ — правило проверки ресурсов Kubernetes на соответствие требованиям безопасности. Относится к типу `Admission` и работает в двух режимах:
                    
                    * `Аудит` — фиксирует нарушения, но не блокирует операцию (режим по умолчанию);
                    * `Блокировка` — отклоняет запрос при несоответствии требованиям.
                    
                    Подробнее в разделе [Управление режимами работы правил контроля безопасности модуля KSPM](../operations/kspm/manage-rule-modes.md)
                    
                    #### {#mutation}
                    
                    _Политика мутации_ — правило, которое корректирует объекты в кластере при их создании или обновлении для соответствия стандартам безопасности.
                    
                    #### {#generate}
                    
                    _Политика генерации_ — правило, которое автоматически создает дополнительные ресурсы в кластере в ответ на появление целевого объекта, например нового пространства имен.
                    
                    #### {#verify-images}
                    
                    _Политика проверки образов_ — правило, которое контролирует образы контейнеров на соответствие требованиям: наличие подписи, допустимость реестра, отсутствие критических уязвимостей.

[*verify-images]: #### {#validation}
                  
                  _Политика валидации_ — правило проверки ресурсов Kubernetes на соответствие требованиям безопасности. Относится к типу `Admission` и работает в двух режимах:
                  
                  * `Аудит` — фиксирует нарушения, но не блокирует операцию (режим по умолчанию);
                  * `Блокировка` — отклоняет запрос при несоответствии требованиям.
                  
                  Подробнее в разделе [Управление режимами работы правил контроля безопасности модуля KSPM](../operations/kspm/manage-rule-modes.md)
                  
                  #### {#mutation}
                  
                  _Политика мутации_ — правило, которое корректирует объекты в кластере при их создании или обновлении для соответствия стандартам безопасности.
                  
                  #### {#generate}
                  
                  _Политика генерации_ — правило, которое автоматически создает дополнительные ресурсы в кластере в ответ на появление целевого объекта, например нового пространства имен.
                  
                  #### {#verify-images}
                  
                  _Политика проверки образов_ — правило, которое контролирует образы контейнеров на соответствие требованиям: наличие подписи, допустимость реестра, отсутствие критических уязвимостей.