◆ БЕЗОПАСНОСТЬ

Доступ к вашему кластеру мы не получаем

Opsy спроектирован так, чтобы интеграция не требовала выдачи доступа к кластеру. Ниже - как это устроено, что хранится у нас и в каком виде.

Входящих подключений в кластер нет Локальная модель, без внешних ИИ-сервисов Установка в закрытый контур Журнал всех действий kubeconfig нам не передаётся

Архитектура доступа

Агент живёт внутри вашего периметра и сам инициирует исходящие HTTPS-запросы за задачами. kubectl, helm и git он выполняет локально, в вашем кластере. У агента нет ни Service, ни открытых портов: подключиться к нему снаружи невозможно.

ВАШ КЛАСТЕР
agent (ServiceAccount)
kubectl · helm · git - локально
ни Service, ни открытых портов
исходящий HTTPS
входящих нет
OPSY CONTROL-PLANE
очередь задач · политика · аудит
агент опрашивает очередь сам
инициатива всегда на вашей стороне

Защита данных

При передаче
Весь трафик по TLS. Соединение устанавливает агент изнутри вашего периметра, входящие подключения не требуются.
В покое
Чувствительные поля шифруются на уровне приложения: токены Git, kubeconfig, значения из конфигурации деплоя. API-ключи хранятся хешами, сам ключ показывается один раз.
Изоляция периметра
Разбор логов и инцидентов выполняет локальная языковая модель. Во внешние ИИ-сервисы ваши данные не передаются.

Какие данные где лежат

Без общих слов: вот полный перечень того, что попадает на нашу сторону, и в каком виде.

ХРАНИТСЯ У НАС
Ссылки на репозитории и ветки
Имена кластеров, окружений и неймспейсов
Конфигурация доставки
Журнал действий и статусы задач
Контакты пользователей
ХРАНИТСЯ ЗАШИФРОВАННЫМ
Токены доступа к Git
Значения переменных и секретов из конфигурации деплоя
НЕ ПОПАДАЕТ К НАМ
kubeconfig и креды кластера: агент работает под собственным ServiceAccount
Исходный код: сборка идёт в вашем CI
API-ключи в открытом виде: только хеши
Содержимое кластера: запросы выполняет агент у вас
ХРАНЕНИЕ И УДАЛЕНИЕ
Журнал действий хранится 90 дней, затем ротируется · Данные организации удаляются после расторжения договора · Выгрузку своей конфигурации можно запросить в любой момент

Контроль и аудит

RBAC по неймспейсам
Кто и куда может катить - решаете вы.
Аппрув на прод
Критичное проходит через человека, а не автоматом.
Блокирующий SAST-гейт
Critical останавливает деплой. Проверка не прошла или недоступна - выката не будет. Ослабить может только организация.
Журнал действий
Кто, что, когда и с каким результатом.
Отключение агента в любой момент
Агент отзывается администратором организации и удаляется из кластера.
Роли из вашего Git
Права наследуются из GitLab, GitHub или Azure DevOps.

Непрерывность

Dockerfile и CI - в вашем репозитории
Они коммитятся к вам и остаются вашими: обычные читаемые файлы, которые продолжат собирать образ без нас.
Агент снимается одной командой
Образ разворачивается в вашем реестре и удаляется из кластера. Следов в инфраструктуре не остаётся.
Установка в ваш контур
Opsy ставится целиком у вас, включая перенос образов в закрытый контур. Связь с нашей инфраструктурой не требуется.
Ответственное раскрытие
Нашли уязвимость - напишите нам. Отвечаем в течение рабочего дня и не преследуем исследователей, которые действовали добросовестно.
security@deostech.kz

Частые вопросы

Видит ли ИИ наш код и логи?
Разбор выполняет локальная модель: она работает на нашей стороне, а при установке в ваш контур - у вас. Во внешние ИИ-сервисы ваши данные не передаются ни в каком режиме.
Нужен ли вам наш kubeconfig?
Нет. Все обращения к кластеру выполняет агент внутри вашего периметра под собственным ServiceAccount - kubeconfig нам не передаётся. Загрузить его можно только при установке Opsy в ваш контур, где он и остаётся.
Заменяет ли Opsy Vault?
Нет. Opsy не менеджер секретов: мы не управляем их жизненным циклом и не ротируем их. Значения, указанные в конфигурации деплоя, хранятся у нас в зашифрованном виде и доступны только вашей организации.
Есть ли у вас SOC 2 или ISO 27001?
Сертификации пока нет. Модель безопасности держится на архитектуре: доступ к кластеру не выдаётся, сборка идёт в вашем CI. Это проверяется вашей службой безопасности напрямую. Пройдём ваш внутренний чеклист и ответим письменно.
Что будет, если проверка недоступна?
Деплой не пройдёт. Гейт работает по принципу fail-closed: нет ответа - нет выката. Разрешить проезд при недоступности проверки может только ваша организация в своих настройках.
Какие права нужны агенту в кластере?
Агент работает под ServiceAccount с правами, которые вы задаёте сами. Полный список требуемых разрешений присылаем до установки.
Можно ли поставить полностью офлайн?
Да. Поддерживается установка в закрытый контур с переносом образов в ваш реестр и офлайн-лицензией, без связи с нашей инфраструктурой.
Кому принадлежат права на Opsy?
Права на продукт принадлежат DEOSTECH, авторство зарегистрировано в Республике Казахстан. Клиент получает право использования по лицензионному договору.

Документы для вашей службы безопасности

Модель безопасности, список требуемых прав агента, договор и соглашение об обработке данных - присылаем по запросу.

Запросить документы Разбор доставки, 60 минут