Container Service for Kubernetes:Pod セキュリティポリシーの設定

ack-policy-external-provider のインストールと設定

1. ACK クラスターページで、対象クラスターの名前をクリックします。左側のナビゲーションウィンドウで、Add-ons をクリックします。

2. ack-policy-external-provider を検索し、画面の指示に従って設定を完了します。

   • ProviderPodNumber：コンポーネントインスタンスの数。

   • ProtectedKinds：保護したい CRD に対応するリソースタイプを追加します。

     CRD の削除保護では、リソースタイプのインスタンスがクラスターに存在するかどうかを確認する必要があります。最小権限の原則に従い、ack-policy-external-provider はデフォルトで必要なクエリ権限を持っておらず、手動で設定する必要があります。

     ProviderPodNumber (レプリカ数、デフォルト：1) を設定します。ProtectedKinds セクションに、リソースタイプ名 (pods、policies、customresources など) を入力します。[追加] をクリックして複数のエントリを追加するか、[削除] をクリックしてエントリを削除します。[OK] をクリックします。

API 定義とパラメーター

ack-policy-external-provider は、標準の Gatekeeper 外部データプロバイダーを実装しています。Rego ポリシーテンプレートでは、external_data 関数を呼び出し、provider: ack-policy-external-data-provider を指定することで、このコンポーネントにリソースクエリリクエストを送信できます。

リクエストパラメーターは JSON 形式で定義されます。以下にいくつかの例を示します。

// 例 1
{
  "action": "ListK8sResource",
  "namespaced": false,
  "group": "",
  "version": "v1",
  "resource": "persistentvolumeclaims"
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "PVCProtector",
  "labelSelector": "protected",
  "limit": 1
}
// 例 2
{
  "action": "GetK8sResource",
  "namespaced": true,
  "namespace": "default",
  "group": "apps",
  "version": "v1",
  "resource": "deployments",
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "FinOpsPolicy",
  "labelSelector": "protected",
  "limit": 1
}

次の表は、コアパラメーターを説明しています。

例：CRD 削除の防止

この例では、ack-policy-external-provider を使用して、一般的な高度なポリシーを実装する方法を示します。それは、関連するカスタムリソース (CR) インスタンスがまだ存在する場合に、カスタムリソース定義 (CRD) の削除を禁止することです。

このポリシーは組み込みルールであり、手動でのデプロイは不要です。このセクションはデモンストレーションのみを目的としています。

• ポリシーロジック

  • トリガー：Gatekeeper が DELETE CRD 操作を検出します。

  • クエリ：Rego ポリシーは external_data を使用して ack-policy-external-provider を呼び出します。

  • チェック：リクエストパラメーターに基づき、ack-policy-external-provider コンポーネントはクラスターをクエリして、対応する CR インスタンスが存在するかどうかを確認します。

  • 決定：クエリ結果が少なくとも 1 つの CR インスタンスを返した場合、ack-policy-external-provider は結果を Rego ポリシーに返し、ポリシーは最終的にこの削除操作を deny (拒否) します。

• ポリシーテンプレート (ConstraintTemplate)

  ポリシーロジックを定義します。

  apiVersion: templates.gatekeeper.sh/v1beta1
  kind: ConstraintTemplate
  metadata:
    name: blockcrddeletion
    annotations:
      meta.helm.sh/release-name: gatekeeper
      meta.helm.sh/release-namespace: kube-system
      metadata.gatekeeper.sh/version: 1.0.0
    labels:
      app.kubernetes.io/managed-by: Helm
  spec:
    crd:
      spec:
        names:
          kind: BlockCrdDeletion
        validation:
          legacySchema: true
    targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package block_crd_deletion
        violation[{"msg": msg}] {
          before(input.review.operation)
          response := handle(input.review)
          msg := after(response)
        }
  
        before(operation) {
          operation == "DELETE"
        }
  
        handle(review) = response {
          customrequest := {
            "action": "ListK8sResource",
            "namespaced": false,
            "group": review.object.spec.group,
            "version": "",
            "resource": review.object.spec.names.plural,
            "requestID": review.uid,
            "userInfo": review.userInfo,
            "requestFrom": "BlockCrdDeletion",
            "labelSelector": "protected",
            "limit": 1
          }
          request_keys := [json.marshal(customrequest)]
          response := external_data({
            "provider": "ack-policy-external-data-provider",
            "keys": request_keys
          })
        }
  
        after(response) = msg {
          count(response.responses[0]) > 0
          msg := sprintf(
            "The CRD %v is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: %v, etc.",
            [input.review.name, response.responses[0][0]]
          )
        }

• ポリシーインスタンス (Constraint)

  テンプレートを特定のリソースに適用します。この例では、ポリシーをすべての CRD に適用します。

  apiVersion: constraints.gatekeeper.sh/v1beta1
  kind: BlockCrdDeletion
  metadata:
    name: block-crd-deletion-rule
  spec:
    enforcementAction: deny
    match:
      kinds:
      - apiGroups:
        - '*'
        kinds:
        - CustomResourceDefinition

• 結果の検証

  1. テスト用の CRD と対応する CR インスタンスを作成します。

     # CRD の作成
     apiVersion: apiextensions.k8s.io/v1
     kind: CustomResourceDefinition
     metadata:
       name: simplestthings.example.com
     spec:
       group: example.com
       scope: Namespaced
       names:
         plural: simplestthings
         singular: simplestthing
         kind: SimplestThing
       versions:
         - name: v1
           served: true
           storage: true
           schema:
             openAPIV3Schema:
               type: object
               properties:
                 spec:
                   type: object
                   properties:
                     message:
                       type: string
     ---
     # CR インスタンスの作成
     apiVersion: example.com/v1
     kind: SimplestThing
     metadata:
       name: my-simple-thing
       namespace: default
       labels:
         protected: "false"
     spec:
       message: "Hello"

  2. CRD の削除を試みます。

     kubectl delete crd simplestthings.example.com

  3. ポリシーが削除をブロックし、明確なエラーメッセージを返すことを確認します。

     期待される出力：

     Error from server (Forbidden): admission webhook "delete.validation.gatekeeper.sh" denied the request: [block-crd-deletion-rule] The CRD simplestthings.example.com is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: my-simple-thing, etc.