組件介紹

Open Policy Agent（OPA）是一個開源的、通用的策略引擎，可以在整個堆棧中實現(xiàn)統(tǒng)一的、上下文感知的策略實施。gatekeeper組件可以管理和應(yīng)用集群內(nèi)的Open Policy Agent（OPA）策略，實現(xiàn)命名空間標(biāo)簽管理等功能。有關(guān)OPA的介紹，請參見Open Policy Agent。gatekeeper組件架構(gòu)如下圖所示。

關(guān)于如何安裝gatekeeper組件，請參見管理組件。

使用說明

本示例將演示如何通過gatekeeper實現(xiàn)限制指定命名空間下創(chuàng)建的Pod必須包含一個名為gatekeeper-test-label的標(biāo)簽，借此展示gatekeeper的基本用法。更多gatekeeper的用法，請參見使用gatekeeper。

1. 執(zhí)行以下命令，創(chuàng)建一個測試用的命名空間 test-gatekeeper，同時給命名空間增加name=test-gatekeeper標(biāo)簽。

   kubectl create ns test-gatekeeper
   kubectl label ns test-gatekeeper name=test-gatekeeper

2. 執(zhí)行以下命令，創(chuàng)建一個檢查標(biāo)簽的策略模板。

   kubectl apply -f - <<EOF
   apiVersion: templates.gatekeeper.sh/v1beta1
   kind: ConstraintTemplate
   metadata:
     name: k8srequiredlabels
   spec:
     crd:
       spec:
         names:
           kind: K8sRequiredLabels
         validation:
           openAPIV3Schema:
             properties:
               labels:
                 type: array
                 items:
                   type: string
     targets:
       - target: admission.k8s.gatekeeper.sh
         rego: |
           package k8srequiredlabels
           violation[{"msg": msg, "details": {"missing_labels": missing}}] {
             provided := {label | input.review.object.metadata.labels[label]}
             required := {label | label := input.parameters.labels[_]}
             missing := required - provided
             count(missing) > 0
             msg := sprintf("you must provide labels: %v", [missing])
           }
   EOF

   等待10秒左右，待gatekeeper完成策略模板初始化。

3. 執(zhí)行以下命令，創(chuàng)建一個策略模板的約束。

   這個約束將限制包含標(biāo)簽name=test-gatekeeper的命名空間下創(chuàng)建的Pod必須包含名為gatekeeper-test-label的標(biāo)簽。

   kubectl apply -f - <<EOF
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: K8sRequiredLabels
   metadata:
     name: pod-must-have-gatekeeper-test-label
   spec:
     match:
       kinds:
         - apiGroups: [""]
           kinds: ["Pod"]
       namespaceSelector:
         matchExpressions:
         - key: name
           operator: In
           values: ["test-gatekeeper"]
     parameters:
       labels: ["gatekeeper-test-label"]
   
   EOF

   等待10秒左右，待gatekeeper完成約束的初始化。

4. 驗證命名空間的約束效果。

   • 執(zhí)行以下命令，在包含標(biāo)簽name=test-gatekeeper的命名空間test-gatekeeper下創(chuàng)建一個不包含gatekeeper-test-label標(biāo)簽的Pod。

     kubectl -n test-gatekeeper run test-deny --image=nginx --restart=Never

     預(yù)期輸出：

     Error from server ([denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}): admission webhook "validation.gatekeeper.sh" denied the request: [denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}

     可以看到，在包含標(biāo)簽name=test-gatekeeper的命名空間test-gatekeeper下創(chuàng)建一個不包含gatekeeper-test-label標(biāo)簽的Pod失敗。

   • 執(zhí)行以下命令，在包含標(biāo)簽name=test-gatekeeper的命名空間test-gatekeeper下創(chuàng)建一個包含gatekeeper-test-label標(biāo)簽的Pod。

     kubectl -n test-gatekeeper run test-pass -l gatekeeper-test-label=pass --image=nginx --restart=Never

     預(yù)期輸出：

     pod/test-pass created

     可以看到，在包含標(biāo)簽name=test-gatekeeper的命名空間test-gatekeeper下創(chuàng)建一個包含gatekeeper-test-label標(biāo)簽的Pod成功。

   • 執(zhí)行以下命令，在其他未配置約束的命名空間下創(chuàng)建一個不包含name=test-gatekeeper標(biāo)簽的Pod。

     kubectl -n default run test-deny --image=nginx --restart=Never

     預(yù)期輸出：

     pod/test-deny created

     可以看到，在其他未配置約束的命名空間下創(chuàng)建一個不包含name=test-gatekeeper標(biāo)簽的Pod成功。

   根據(jù)以上驗證，說明通過gatekeeper限制指定命名空間下創(chuàng)建的Pod必須包含一個名為gatekeeper-test-label的標(biāo)簽成功。

變更記錄

2024年03月

2023年10月

2023年04月

2022年06月

2022年04月

2022年02月

2022年01月

2021年09月

2021年03月

2020年08月