NeuVector Prometheus Exporter 容器文档

1. 镜像概述

1.1 简介

NeuVector Prometheus Exporter容器是专为NeuVector容器安全平台设计的监控指标导出工具，通过标准化接口将NeuVector的安全数据转换为Prometheus兼容格式，支持安全监控数据的集中采集、存储与分析。

1.2 主要用途

• 实现NeuVector安全数据与Prometheus监控体系的无缝集成
• 为容器安全态势分析、告警配置提供数据支撑
• 支持与Grafana等可视化平台联动，构建安全监控仪表盘

2. 核心功能与特性

2.1 核心功能

• 多维度指标导出：覆盖安全事件、策略执行、漏洞扫描、容器行为等核心安全指标
• Prometheus原生兼容：采用Prometheus文本格式暴露指标，支持直接接入Prometheus生态
• 灵活配置：通过环境变量或配置文件自定义采集参数、认证方式及端口
• 轻量化设计：容器体积小、资源占用低，适合在各类容器环境中部署

2.2 关键特性

• 支持NeuVector API v3及以上版本
• 内置指标缓存机制，降低对NeuVector控制器的性能影响
• 支持TLS加密与证书验证，保障数据传输安全
• 提供详细日志输出，便于问题排查

3. 使用场景与适用范围

3.1 典型使用场景

• 企业容器安全监控平台建设：整合安全数据到统一监控体系
• 安全事件实时追踪：通过Prometheus Alertmanager配置安全事件告警
• 安全策略有效性分析：基于指标数据优化容器安全策略
• 合规审计支持：留存安全监控历史数据，满足合规性要求

3.2 适用范围

• 已部署NeuVector容器安全平台的环境
• 采用Prometheus+Grafana构建监控体系的企业
• 需要对容器安全状态进行量化分析的场景

4. 使用方法与配置说明

4.1 基础部署（Docker Run）

docker
docker run -d \
  --name neuvector-prometheus-exporter \
  -e NEUVECTOR_API_URL="[***]" \
  -e NEUVECTOR_USERNAME="admin" \
  -e NEUVECTOR_PASSWORD="your_secure_password" \
  -e LISTEN_PORT=9200 \
  -e SCRAPE_INTERVAL=60 \
  -p 9200:9200 \
  neuvector/prometheus-exporter:latest

4.2 环境变量配置参数

4.3 Docker Compose部署示例

yaml
version: '3.8'
services:
  neuvector-exporter:
    image: neuvector/prometheus-exporter:latest
    container_name: neuvector-exporter
    environment:
      - NEUVECTOR_API_URL=[***]
      - NEUVECTOR_USERNAME=admin
      - NEUVECTOR_PASSWORD_FILE=/run/secrets/neuvector-password  # 推荐使用secret文件
      - LISTEN_PORT=9200
      - SCRAPE_INTERVAL=30
      - TLS_SKIP_VERIFY=true
      - LOG_LEVEL=info
    ports:
      - "9200:9200"
    secrets:
      - neuvector-password
    restart: unless-stopped
    networks:
      - monitoring-network

secrets:
  neuvector-password:
    file: ./neuvector-password.txt  # 包含NeuVector密码的文件

networks:
  monitoring-network:
    external: true

4.4 Prometheus集成配置

在Prometheus配置文件（prometheus.yml）中添加以下采集任务：

yaml
scrape_configs:
  - job_name: 'neuvector-security'
    metrics_path: '/metrics'
    scrape_interval: 30s
    static_configs:
      - targets: ['neuvector-exporter:9200']  # 替换为导出器实际地址
    relabel_configs:
      - source_labels: [__meta_docker_container_label_com_neuvector_exporter]
        regex: true
        action: keep

5. 支持的核心指标

6. 部署最佳实践

6.1 安全性增强

• 使用--read-only参数以只读模式运行容器
• 通过--user指定非root用户运行
• 敏感信息（如密码）通过Docker Secrets或Kubernetes Secrets管理，避免明文环境变量
• 限制容器网络策略，仅允许Prometheus服务器访问导出器端口

6.2 高可用性配置

• 在Kubernetes环境中通过Deployment部署，配置副本数≥2
• 使用Service资源暴露导出器，配合Prometheus的服务发现机制
• 对导出器自身添加健康检查（如/health端点）

6.3 性能优化

• 根据NeuVector集群规模调整SCRAPE_INTERVAL（建议30-60秒）
• 对大规模集群，可部署多个导出器实例分担采集压力
• 监控导出器自身资源占用（CPU/内存），避免影响NeuVector控制器性能

7. 注意事项

• 确保NeuVector控制器API版本与导出器兼容（建议NeuVector 5.0+）
• 导出器与NeuVector控制器之间网络需互通，API端口需开放
• 定期更新镜像以获取最新指标支持及安全修复
• 生产环境建议启用TLS加密（通过反向代理如Nginx配置HTTPS）