Un agent en lecture seule par défaut
L’agent tourne dans votre cluster avec un ClusterRole limité aux verbes get, list et watch. Il lit les nœuds, les pods, les namespaces, les volumes et les workloads, ainsi que les métriques des nœuds. Sans le mode actions, il n’a aucun droit d’écriture.
Son pod respecte le standard restricted des Pod Security Standards : utilisateur non root, système de fichiers racine immuable, capacités retirées, pas d’élévation de privilèges et seccomp RuntimeDefault. Le jeton de l’agent reste dans un Secret que vous créez : le kubelet le monte, et l’agent ne lit aucun Secret par l’API.
Ce qui sort de votre cluster, et ce qui n’en sort pas
Onicost reçoit l’inventaire du cluster et l’usage des conteneurs. Rien de plus n’est nécessaire pour calculer vos coûts et vos recommandations.
- Envoyé : nœuds, namespaces, workloads avec leurs labels, requests et limits, usage CPU et mémoire de chaque conteneur.
- Jamais collecté : Secrets, ConfigMaps, logs, données applicatives et trafic.
- Sous votre contrôle : exclude.namespaces écarte des namespaces entiers, exclude.labelKeys retire des clés de labels avant l’envoi.
Des actions possibles seulement si vous les activez
Le Scheduler a besoin de droits dédiés pour arrêter un environnement. Ils ne sont accordés que si vous installez le chart avec actions.enabled=true, et le ClusterRole ajoute alors le verbe patch sur les Deployments, StatefulSets, CronJobs et HorizontalPodAutoscalers.
L’agent écrit les valeurs d’origine dans une annotation avant d’agir, puis les restaure à la fin de la fenêtre. Il ne crée ni ne supprime aucun objet, et il ne touche jamais à kube-system, kube-public, kube-node-lease, argocd, flux-system ni à son propre namespace. Un workload annoté onicost.com/scheduler: ignore reste aussi à l’écart.
Des données hébergées en France
Le service et vos données sont hébergés en France, chez Scaleway, dans la région de Paris. Les données sont conservées 13 mois. Les identifiants de vos comptes cloud sont chiffrés au repos, et les paiements passent par Stripe.
Le détail des données traitées, de leur durée de conservation et de vos droits se trouve dans la politique de confidentialité.
Des accès adaptés à vos équipes
Chaque membre d’une organisation reçoit un rôle, et les accès au plan Business se configurent en SSO OIDC ou SAML sur vos domaines vérifiés. Vous pouvez ainsi appliquer votre politique d’identité sans créer de comptes à part.
Signaler une vulnérabilité
Écrivez à contact@onicost.com pour signaler une vulnérabilité. Le fichier /.well-known/security.txt publie ce contact dans le format standard. Le code du chart Helm de l’agent est public : votre équipe peut le relire avant toute installation.
Questions fréquentes
L’agent peut-il lire mes Secrets ?
Non. Son ClusterRole ne donne aucun accès aux Secrets ni aux ConfigMaps, et le jeton de l’agent est monté par le kubelet.
Puis-je exclure un namespace ?
Oui. La valeur exclude.namespaces du chart écarte tout ce qui vient des namespaces listés, avant l’envoi.
Où sont hébergées mes données ?
En France, chez Scaleway, dans la région de Paris, pendant 13 mois.