Kubernetes OPA Gatekeeper

このページの元の著者は Guillaume

定義

Open Policy Agent (OPA) Gatekeeperは、Kubernetesで入場ポリシーを強制するために使用されるツールです。これらのポリシーは、OPAによって提供されるポリシー言語であるRegoを使用して定義されます。以下は、OPA Gatekeeperを使用したポリシー定義の基本的な例です：

regoCopy codepackage k8srequiredlabels

violation[{"msg": msg}] {
provided := {label | input.review.object.metadata.labels[label]}
required := {label | label := input.parameters.labels[label]}
missing := required - provided
count(missing) > 0
msg := sprintf("Required labels missing: %v", [missing])
}

default allow = false

このRegoポリシーは、Kubernetesリソースに特定のラベルが存在するかどうかをチェックします。必要なラベルが欠落している場合、違反メッセージが返されます。このポリシーは、クラスターにデプロイされたすべてのリソースに特定のラベルがあることを確認するために使用できます。

制約の適用

このポリシーをOPA Gatekeeperと共に使用するには、KubernetesでConstraintTemplateとConstraintを定義する必要があります：

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
name: k8srequiredlabels
spec:
crd:
spec:
names:
kind: K8sRequiredLabels
targets:
- target: admission.k8s.gatekeeper.sh
rego: |
package k8srequiredlabels
violation[{"msg": msg}] {
provided := {label | input.review.object.metadata.labels[label]}
required := {label | label := input.parameters.labels[label]}
missing := required - provided
count(missing) > 0
msg := sprintf("Required labels missing: %v", [missing])
}

default allow = false

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
name: ensure-pod-has-label
spec:
match:
kinds:
- apiGroups: [""]
kinds: ["Pod"]
parameters:
labels:
requiredLabel1: "true"
requiredLabel2: "true"

このYAMLの例では、ラベルの指定を要求するConstraintTemplateを定義しています。次に、この制約をensure-pod-has-labelと名前付けし、k8srequiredlabels ConstraintTemplateを参照して必要なラベルを指定します。

KubernetesクラスターにGatekeeperがデプロイされると、このポリシーが強制され、指定されたラベルを持たないポッドの作成が防がれます。

参考

• https://github.com/open-policy-agent/gatekeeper