Container Service for Kubernetes:Konfigurasikan kebijakan keamanan Pod

Instal dan konfigurasi ack-policy-external-provider

1. Di halaman ACK Clusters, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

2. Cari ack-policy-external-provider dan ikuti petunjuk di layar untuk menyelesaikan konfigurasi.

   • ProviderPodNumber: jumlah instance komponen.

   • ProtectedKinds: Tambahkan jenis resource yang sesuai dengan CRD yang ingin Anda lindungi.

     Perlindungan penghapusan CRD memerlukan pemeriksaan apakah instance jenis resource tersebut ada di kluster. Mengikuti prinsip hak istimewa minimal, ack-policy-external-provider tidak memiliki izin kueri yang diperlukan secara default dan harus dikonfigurasi secara manual.

     Atur ProviderPodNumber (jumlah replika, default: 1). Di bagian ProtectedKinds, masukkan nama jenis resource (seperti pods, policies, atau customresources). Klik Add untuk menambahkan beberapa entri, atau klik Delete untuk menghapus entri. Klik OK.

Definisi API dan parameter

ack-policy-external-provider mengimplementasikan Provider data eksternal Gatekeeper standar. Dalam template kebijakan Rego, Anda dapat mengirim permintaan kueri resource ke komponen ini dengan memanggil fungsi external_data dan menentukan provider: ack-policy-external-data-provider.

Parameter permintaan didefinisikan dalam format JSON. Berikut beberapa contohnya.

// Contoh 1
{
  "action": "ListK8sResource",
  "namespaced": false,
  "group": "",
  "version": "v1",
  "resource": "persistentvolumeclaims"
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "PVCProtector",
  "labelSelector": "protected",
  "limit": 1
}
// Contoh 2
{
  "action": "GetK8sResource",
  "namespaced": true,
  "namespace": "default",
  "group": "apps",
  "version": "v1",
  "resource": "deployments",
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "FinOpsPolicy",
  "labelSelector": "protected",
  "limit": 1
}

Tabel berikut menjelaskan parameter inti.

Contoh: Cegah penghapusan CRD

Contoh ini menunjukkan cara menggunakan ack-policy-external-provider untuk mengimplementasikan kebijakan lanjutan umum: melarang penghapusan CustomResourceDefinition (CRD) jika instance custom resource (CR) terkait masih ada.

Kebijakan ini merupakan aturan bawaan dan tidak memerlukan penerapan manual. Bagian ini hanya untuk tujuan demonstrasi.

• Logika kebijakan

  • Pemicu: Gatekeeper mendeteksi operasi DELETE CRD.

  • Kueri: Kebijakan Rego menggunakan external_data untuk memanggil ack-policy-external-provider.

  • Periksa: Berdasarkan parameter permintaan, komponen ack-policy-external-provider melakukan kueri ke kluster untuk memeriksa apakah instance CR terkait ada.

  • Keputusan: Jika hasil kueri mengembalikan setidaknya satu instance CR, ack-policy-external-provider akan mengembalikan hasil tersebut ke kebijakan Rego, dan kebijakan tersebut pada akhirnya akan deny (menolak) operasi penghapusan ini.

• Template kebijakan (ConstraintTemplate)

  Menentukan logika kebijakan.

  apiVersion: templates.gatekeeper.sh/v1beta1
  kind: ConstraintTemplate
  metadata:
    name: blockcrddeletion
    annotations:
      meta.helm.sh/release-name: gatekeeper
      meta.helm.sh/release-namespace: kube-system
      metadata.gatekeeper.sh/version: 1.0.0
    labels:
      app.kubernetes.io/managed-by: Helm
  spec:
    crd:
      spec:
        names:
          kind: BlockCrdDeletion
        validation:
          legacySchema: true
    targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package block_crd_deletion
        violation[{"msg": msg}] {
          before(input.review.operation)
          response := handle(input.review)
          msg := after(response)
        }
  
        before(operation) {
          operation == "DELETE"
        }
  
        handle(review) = response {
          customrequest := {
            "action": "ListK8sResource",
            "namespaced": false,
            "group": review.object.spec.group,
            "version": "",
            "resource": review.object.spec.names.plural,
            "requestID": review.uid,
            "userInfo": review.userInfo,
            "requestFrom": "BlockCrdDeletion",
            "labelSelector": "protected",
            "limit": 1
          }
          request_keys := [json.marshal(customrequest)]
          response := external_data({
            "provider": "ack-policy-external-data-provider",
            "keys": request_keys
          })
        }
  
        after(response) = msg {
          count(response.responses[0]) > 0
          msg := sprintf(
            "The CRD %v is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: %v, etc.",
            [input.review.name, response.responses[0][0]]
          )
        }

• Instance kebijakan (Constraint)

  Menerapkan template ke resource tertentu. Contoh ini menerapkan kebijakan ke semua CRD.

  apiVersion: constraints.gatekeeper.sh/v1beta1
  kind: BlockCrdDeletion
  metadata:
    name: block-crd-deletion-rule
  spec:
    enforcementAction: deny
    match:
      kinds:
      - apiGroups:
        - '*'
        kinds:
        - CustomResourceDefinition

• Verifikasi hasil

  1. Buat CRD uji dan instance CR terkait.

     # Buat CRD
     apiVersion: apiextensions.k8s.io/v1
     kind: CustomResourceDefinition
     metadata:
       name: simplestthings.example.com
     spec:
       group: example.com
       scope: Namespaced
       names:
         plural: simplestthings
         singular: simplestthing
         kind: SimplestThing
       versions:
         - name: v1
           served: true
           storage: true
           schema:
             openAPIV3Schema:
               type: object
               properties:
                 spec:
                   type: object
                   properties:
                     message:
                       type: string
     ---
     # Buat instance CR
     apiVersion: example.com/v1
     kind: SimplestThing
     metadata:
       name: my-simple-thing
       namespace: default
       labels:
         protected: "false"
     spec:
       message: "Hello"

  2. Coba hapus CRD.

     kubectl delete crd simplestthings.example.com

  3. Verifikasi bahwa kebijakan memblokir penghapusan dan mengembalikan pesan error yang jelas.

     Output yang diharapkan:

     Error from server (Forbidden): admission webhook "delete.validation.gatekeeper.sh" denied the request: [block-crd-deletion-rule] The CRD simplestthings.example.com is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: my-simple-thing, etc.