gatekeeper

组件介绍

Open Policy Agent（OPA）是一个开源的、通用的策略引擎，可以在整个堆栈中实现统一的、上下文感知的策略实施。gatekeeper组件可以管理和应用集群内的Open Policy Agent（OPA）策略，实现命名空间标签管理等功能。有关OPA的介绍，请参见Open Policy Agent。gatekeeper组件架构如下图所示。

关于如何安装gatekeeper组件，请参见管理组件。

使用说明

本示例将演示如何通过gatekeeper实现限制指定命名空间下创建的Pod必须包含一个名为gatekeeper-test-label的标签，以此展示gatekeeper的基本用法。更多gatekeeper的用法，请参见使用gatekeeper。

1. 执行以下命令，创建一个测试用的命名空间test-gatekeeper，同时给命名空间增加一个name=test-gatekeeper的标签。

   kubectl create ns test-gatekeeper
   kubectl label ns test-gatekeeper name=test-gatekeeper

2. 执行以下命令，创建一个检查标签的策略模板。

   kubectl apply -f - <<EOF
   apiVersion: templates.gatekeeper.sh/v1beta1
   kind: ConstraintTemplate
   metadata:
     name: k8srequiredlabels
   spec:
     crd:
       spec:
         names:
           kind: K8sRequiredLabels
         validation:
           openAPIV3Schema:
             properties:
               labels:
                 type: array
                 items:
                   type: string
     targets:
       - target: admission.k8s.gatekeeper.sh
         rego: |
           package k8srequiredlabels
           violation[{"msg": msg, "details": {"missing_labels": missing}}] {
             provided := {label | input.review.object.metadata.labels[label]}
             required := {label | label := input.parameters.labels[_]}
             missing := required - provided
             count(missing) > 0
             msg := sprintf("you must provide labels: %v", [missing])
           }
   EOF

   等待10秒左右，待gatekeeper完成策略模板初始化。

3. 执行以下命令，创建一个策略模板的约束。

   这个约束将限制包含标签name=test-gatekeeper的命名空间下创建的Pod必须包含名为gatekeeper-test-label的标签。

   kubectl apply -f - <<EOF
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: K8sRequiredLabels
   metadata:
     name: pod-must-have-gatekeeper-test-label
   spec:
     match:
       kinds:
         - apiGroups: [""]
           kinds: ["Pod"]
       namespaceSelector:
         matchExpressions:
         - key: name
           operator: In
           values: ["test-gatekeeper"]
     parameters:
       labels: ["gatekeeper-test-label"]
   
   EOF

   等待10秒左右，待gatekeeper完成约束的初始化。

4. 验证命名空间的约束效果。

   • 执行以下命令，在包含标签name=test-gatekeeper的命名空间test-gatekeeper下创建一个不包含gatekeeper-test-label标签的Pod。

     kubectl -n test-gatekeeper run test-deny --image=nginx --restart=Never

     预期返回如下，可以看到在该命名空间下，不允许创建不包含gatekeeper-test-label标签的Pod。

     Error from server (Forbidden): admission webhook "validation.gatekeeper.sh" denied the request: [pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}

   • 执行以下命令，在包含标签name=test-gatekeeper的命名空间test-gatekeeper下创建一个包含gatekeeper-test-label标签的Pod。

     kubectl -n test-gatekeeper run test-pass-1 -l gatekeeper-test-label=pass --image=nginx --restart=Never

     预期返回如下，可以看到在该命名空间下，可以创建包含gatekeeper-test-label标签的Pod。

     pod/test-pass-1 created

   • 执行以下命令，在其他未配置约束的命名空间下创建一个不包含name=test-gatekeeper标签的Pod。

     kubectl -n default run test-pass-2 --image=nginx --restart=Never

     预期返回如下，可以看到在其他命名空间下，可以创建不包含gatekeeper-test-label标签的Pod。

     pod/test-pass-2 created

   根据以上验证，说明通过gatekeeper限制指定命名空间下创建的Pod必须包含一个名为gatekeeper-test-label的标签成功。

变更记录

2024年03月