Popeyescan

Popeye — Scan & Analyse

Ce que fait cette skill

Lance Popeye sur un cluster K3s/Kubernetes, interprète la sortie, filtre le bruit des faux positifs K3s, et produit un plan d'action priorisé.

Étape 1 — Lancer le scan

Toujours scanner tous les namespaces. Sans -A, Popeye ne scanne que default et rate tous les workloads.

# Scan complet — tous les namespaces
popeye -A

# Avec contexte explicite (K3s = "default")
popeye -A --context default

# Sauvegarder en JSON pour analyse programmatique
popeye -A --out json --save --output-file /tmp/popeye-report.json

# Sauvegarder en HTML
popeye -A --out html --save --output-file /tmp/popeye-report.html

Étape 2 — Légende des sévérités

Étape 3 — Filtrer le bruit (faux positifs K3s)

Ignorer systématiquement

Toujours escalader

Étape 4 — Grille de priorisation

P1 — Corriger immédiatement

• Services avec No pods match selector → app inaccessible
• Ingress pointant vers service inexistant → 404
• Pods en restart loop (> 5 restarts)
• Memory overconsommée > 200% du request

P2 — Corriger cette semaine (tes workloads applicatifs uniquement)

• Images :latest
• Pas de resources.requests/limits
• Pas de liveness/readiness probes
• ServiceAccounts avec automount token inutile (POP-301/303)
• Namespace prospectio (ou équivalent) avec services orphelins

P3 — Amélioration continue

• Ports non nommés (POP-108, POP-1403)
• PodDisruptionBudgets manquants (POP-206)
• PV en état Available non réclamé (POP-1000)

Étape 5 — Format de réponse attendu

1. Score global et interprétation (A=excellent, B=bon, C=acceptable, D/F=problèmes réels)
2. Problèmes P1 avec ressource exacte namespace/ressource + commande kubectl de diagnostic
3. Problèmes P2 filtrés des composants système — uniquement les workloads applicatifs
4. Ce qu'on ignore et pourquoi — expliquer le bruit K3s pour rassurer
5. Commandes de diagnostic si restarts ou OOM

# Diagnostiquer un pod en restart
kubectl logs -n <namespace> deployment/<name> --previous

# Vérifier la consommation mémoire réelle
kubectl top pods -n <namespace>

# Nettoyer un namespace fantôme
kubectl delete namespace <namespace>

Spinach.yaml — Supprimer le bruit système durablement

Proposer ce fichier si l'utilisateur veut des scans plus lisibles :

# spinach.yaml — à placer à la racine du projet
popeye:
  excludes:
    global:
      - name: rx:kube-system
      - name: rx:kube-flannel
      - name: rx:flux-system
      - name: rx:cert-manager
      - name: rx:external-secrets
      - name: rx:opentelemetry-operator-system
      - name: rx:openobserve-collector

popeye -A --spinach ./spinach.yaml