【Falco】部署与 driver.kind：Helm、auto 回退与 least-privileged

第 9 篇 把 plugin 与 syscall 主路径分开。第 2 篇 已钉 modern_ebpf ∥ kmod 为等级内核路径。本篇落到部署面：DaemonSet / 主机安装如何选定引擎、auto 回退掩盖了什么、least-privileged 能力集为何不能抄到 kmod。

常见误区有三：把 driver.kind=auto 当成「只有一种真内核」；把 least-privileged 当全引擎通用；异构节点静默回退后仍按 modern_ebpf 排障。排障口诀仍是第 1 篇的先点名轴——本篇主轴是 Driver 加载。

本篇在系列中的位置

篇目	核心内容
第 9 篇 · Plugin 框架	container / k8smeta 与主路径分工
第 10 篇 · 部署与 driver.kind	Helm、auto 回退、least-privileged
第 11 篇 · 观测税	成本与噪声归因到五轴
系列目录	全部篇目

版本锚定：Falco 0.44.1；驱动 10.2.0+driver。Helm driver.kind ∈ {auto, modern_ebpf, kmod}（官方 chart values / README）。least-privileged 能力集以官方 Kernel Events 的 modern eBPF 段为准。legacy ebpf / gVisor 不得写成当前选项。 无真实节点则不粘贴伪造 Driver 行。

一、Helm / 主机安装形态

Kubernetes 上典型形态是 DaemonSet：每节点一个 Falco 进程，由 chart 注入 engine.kind（或由 falcoctl driver loader 在启动前写出配置）。主机安装则走包管理器 / 二进制 + falcoctl driver，再由本机 falco.yaml 钉死引擎。

两条形态共享同一约束：

chart README 写明：默认偏好 Modern eBPF；driver.kind=auto 时 loader 先试 modern_ebpf，BPF 特性不足再回退 kmod。强制某一引擎时显式设 modern_ebpf 或 kmod，不要依赖口头「集群都是新内核」。

本篇不写各云一键市场截图，也不展开每个 values 键。只钉：部署选择器写在 chart/主机配置上，真正生效的引擎写在进程侧 Driver 证据上——两者不一致时，以进程侧为准，回到轴 1。

二、modern_ebpf / kmod / auto

flowchart TD
  start["driver.kind"]
  start --> auto{"kind equals auto?"}
  auto -->|"no"| forced["Use forced modern_ebpf or kmod"]
  auto -->|"yes"| probe["Try modern_ebpf features"]
  probe -->|"BTF and ringbuf OK"| mebpf["engine.kind modern_ebpf"]
  probe -->|"features missing"| kmod["Fall back to kmod"]
  forced --> run["Falco userspace starts"]
  mebpf --> run
  kmod --> run

图：auto 决策（英文节点）。回退发生在驱动加载门，进入 libscap 之后仍是两条引擎之一。

auto 的价值是异构节点少操心；代价是静默换引擎时，若未核对 Driver 行，排障会用错权限模型与失败表象。展开失败模式见第 13 篇。

三、least-privileged 只适用于 modern_ebpf

官方 Kernel Events：

• Kernel module：需要完整特权，不能用 Linux capabilities 做 least-privileged。
• Modern eBPF：最小能力集为 CAP_SYS_BPF、CAP_SYS_PERFMON、CAP_SYS_RESOURCE、CAP_SYS_PTRACE（在支持细粒度 BPF/PERFMON 能力的内核上，可替代粗粒度 CAP_SYS_ADMIN）。

Helm driver.modernEbpf.leastPrivileged 仅在强制 / 实际跑 modern_ebpf 时有意义。把同一 securityContext 抄到 kmod 路径，属于配置谎言：要么装不上模块，要么容器仍 privileged。

能力名在 chart values 注释里常写作 CAP_BPF / CAP_PERFMON（容器 capability 短名）；机制钉以 Kernel Events 的 CAP_SYS_* 列表为准。发行版若把 kernel.perf_event_paranoid 抬得过高，即便有能力集仍可能在 attach 阶段失败——那是轴 1 权限/策略问题，不是规则写错。

四、异构节点回退

集群里混有「有 BTF + ringbuf」与「无足够 BPF 特性」的节点时，auto 会让不同节点落在不同引擎。这是预期运维行为，不是「半个集群坏了」。

排障纪律：

1. 按节点核对实际引擎，不要用一份全局 values 推断全部 Pod。
2. 回退到 kmod 的节点改走完整特权 / 驱动加载证据包，不要继续查 least-privileged 缺哪条 CAP。
3. 强制全集群单一引擎时，显式 modern_ebpf 或 kmod，并接受不兼容节点会启动失败——失败可见，往往优于静默分叉。

开放问题（系列后文回收）：auto 回退是否应成为一等公民 status/指标。当前值班最低标准是：事故节点上能读到实际 engine.kind，并写入证据包标题。

五、与轴 1 排障衔接

本篇把部署旋钮钉在轴 1。进入第 13 篇前，先用下表分流：

下一篇把权限与部署差写成观测税（机制成本，不是 CPU% 榜）；升级成对换驱动见第 12 篇。

参考资料

规范 / 官方文档（A）

• Falco Kernel Events（modern eBPF least-privileged 能力集；kmod 不可 least-privileged）
• falcosecurity/charts falco：driver.kind ∈ {auto, modern_ebpf, kmod}；driver.modernEbpf.leastPrivileged
• Falco 0.44.1 / 驱动 10.2.0+driver；0.44.0 删除 legacy eBPF

本系列

• 第 2 篇 · 双引擎对照
• 第 1 篇 · 五轴；PLAN.md §八、§九·10

上一篇：Plugin 框架

下一篇：观测税与误报面