Container Service for Kubernetes:ゲートキーパーの紹介とリリースノート

概要

OPAは、標準化されたコンテキストを意識した方法でポリシーをスタックに実装するために一般的に使用されるオープンソースのポリシーエンジンです。 ゲートキーパーコンポーネントを使用して、OPAポリシーを管理および実装し、Container Service for Kubernetes (ACK) クラスターの名前空間のラベルを管理できます。 OPAの詳細については、「ポリシーエージェントを開く」をご参照ください。 gatekeeperのアーキテクチャを次の図に示します。

gatekeeperのインストール方法の詳細については、「コンポーネントの管理」をご参照ください。

使用上の注意

gatekeeperを使用して、ラベルに基づいて特定の名前空間でのポッドの展開を制限できます。 この例では、特定の名前空間で作成されるすべてのポッドをgatekeeper-test-labelでラベル付けする必要があることを宣言する制約が定義されています。 ゲートキーパーの使用方法の詳細については、「ゲートキーパーの使用方法」をご参照ください。

1. 次のコマンドを実行してtest-gatekeeperという名前のテスト名前空間を作成し、名前空間にname=test-gatekeeperラベルを追加します。

   kubectl create ns test-gatekeeper
   kubectl label ns test-gatekeeper name=test-gatekeeper

2. 次のコマンドを実行して、ポッドラベルの制約を定義するために使用できる制約テンプレートを作成します。

   kubectl apply -f - <<EOF
   apiVersion: templates.gatekeeper.sh/v1beta1
   kind: ConstraintTemplate
   metadata:
     name: k8srequiredlabels
   spec:
     crd:
       spec:
         names:
           kind: K8sRequiredLabels
         validation:
           openAPIV3Schema:
             properties:
               labels:
                 type: array
                 items:
                   type: string
     targets:
       - target: admission.k8s.gatekeeper.sh
         rego: |
           package k8srequiredlabels
           violation[{"msg": msg, "details": {"missing_labels": missing}}] {
             provided := {label | input.review.object.metadata.labels[label]}
             required := {label | label := input.parameters.labels[_]}
             missing := required - provided
             count(missing) > 0
             msg := sprintf("you must provide labels: %v", [missing])
           }
   EOF

   制約テンプレートの初期化には約10秒かかります。

3. 次のコマンドを実行して、前述の制約テンプレートから制約を作成します。 この制約は、name=test-gatekeeperラベルを持つ名前空間に作成されるすべてのポッドにgatekeeper-test-labelのラベルを付ける必要があることを宣言しています。

   kubectl apply -f - <<EOF
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: K8sRequiredLabels
   metadata:
     name: pod-must-have-gatekeeper-test-label
   spec:
     match:
       kinds:
         - apiGroups: [""]
           kinds: ["Pod"]
       namespaceSelector:
         matchExpressions:
         - key: name
           operator: In
           values: ["test-gatekeeper"]
     parameters:
       labels: ["gatekeeper-test-label"]
   
   EOF

   制約を初期化するのに約10秒を要する。

4. 名前空間が制約されているかどうかを確認します。

   • 次のコマンドを実行して、test-gatekeeper名前空間にgatekeeper-test-labelでラベル付けされていないポッドを作成します。 test-gatekeeper名前空間には、name=test-gatekeeperラベルがあります。

     kubectl -n test-gatekeeper run test-deny --image=nginx --restart=Never

     期待される出力:

     Error from server ([denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}): admission webhook "validation.gatekeeper.sh" denied the request: [denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}

     test-gatekeeper名前空間には、name=test-gatekeeperラベルがあります。 ポッドはgatekeeper-test-labelラベルなしで作成されます。 したがって、ポッドの作成は失敗します。

   • 次のコマンドを実行して、test-gatekeeper名前空間にgatekeeper-test-labelでラベル付けされたポッドを作成します。 test-gatekeeper名前空間には、name=test-gatekeeperラベルがあります。

     kubectl -n test-gatekeeper run test-pass -l gatekeeper-test-label=pass --image=nginx --restart=Never

     期待される出力:

     pod/test-pass created

     test-gatekeeper名前空間には、name=test-gatekeeperラベルがあります。 ポッドはgatekeeper-test-labelラベルで作成されます。 したがって、ポッドの作成は成功します。

   • 次のコマンドを実行して、制約の対象とならない名前空間にname=test-gatekeeperでラベル付けされていないポッドを作成します。

     kubectl -n default run test-deny --image=nginx --restart=Never

     期待される出力:

     pod/test-deny created

     名前空間は制約の対象ではありません。 したがって、ポッドの作成は成功します。 作成されたポッドには、name=test-gatekeeperラベルがありません。

   上記の手順は、ゲートキーパーを使用して特定の名前空間でのポッドの作成を制限できることを示しています。 この例では、名前空間に作成されるポッドにgatekeeper-test-labelラベルが必要です。

リリースノート

March 2024

10月2023

April 2023

6月2022

April 2022

2月2022

January 2022

9月2021

March 2021

8月2020