Container Service for Kubernetes:gatekeeper の概要とリリースノート

概要

OPA は、スタック内のポリシーを標準化されたコンテキスト対応の方法で実装するために一般的に使用されるオープンソースのポリシーエンジンです。 gatekeeper コンポーネントを使用して、OPA ポリシーの管理と実装、および Container Service for Kubernetes (ACK) クラスター内の名前空間のラベルの管理を行うことができます。 OPA の詳細については、「Open Policy Agent」をご参照ください。次の図は、gatekeeper のアーキテクチャを示しています。

gatekeeper のインストール方法の詳細については、「コンポーネントの管理」をご参照ください。

使用上の注意

gatekeeper を使用して、ラベルに基づいて特定の名前空間へのポッドのデプロイを制限できます。この例では、特定の名前空間で作成されるすべてのポッドに gatekeeper-test-label のラベルを付ける必要があることを宣言する制約が定義されています。 gatekeeper の使用方法の詳細については、「Gatekeeper の使用方法」をご参照ください。

1. 次のコマンドを実行して、test-gatekeeper という名前のテスト名前空間を作成し、name=test-gatekeeper ラベルを名前空間に追加します。

   kubectl create ns test-gatekeeper
   kubectl label ns test-gatekeeper name=test-gatekeeper

2. 次のコマンドを実行して、ポッドラベルの制約を定義するために使用できる制約テンプレートを作成します。

   kubectl apply -f - <<EOF
   apiVersion: templates.gatekeeper.sh/v1beta1
   kind: ConstraintTemplate
   metadata:
     name: k8srequiredlabels
   spec:
     crd:
       spec:
         names:
           kind: K8sRequiredLabels
         validation:
           openAPIV3Schema:
             properties:
               labels:
                 type: array
                 items:
                   type: string
     targets:
       - target: admission.k8s.gatekeeper.sh
         rego: |
           package k8srequiredlabels  // パッケージ k8srequiredlabels
           violation[{"msg": msg, "details": {"missing_labels": missing}}] {
             provided := {label | input.review.object.metadata.labels[label]}
             required := {label | label := input.parameters.labels[_]}
             missing := required - provided
             count(missing) > 0
             msg := sprintf("you must provide labels: %v", [missing]) // ラベルを指定する必要があります: %v
           }
   EOF

   制約テンプレートの初期化には約 10 秒かかります。

3. 次のコマンドを実行して、前の制約テンプレートから制約を作成します。この制約は、name=test-gatekeeper ラベルを持つ名前空間で作成されるすべてのポッドに gatekeeper-test-label のラベルを付ける必要があることを宣言します。

   kubectl apply -f - <<EOF
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: K8sRequiredLabels
   metadata:
     name: pod-must-have-gatekeeper-test-label
   spec:
     match:
       kinds:
         - apiGroups: [""]
           kinds: ["Pod"]
       namespaceSelector:
         matchExpressions:
         - key: name
           operator: In
           values: ["test-gatekeeper"]
     parameters:
       labels: ["gatekeeper-test-label"]
   
   EOF

   制約の初期化には約 10 秒かかります。

4. 名前空間が制約されているかどうかを確認します。

   • 次のコマンドを実行して、test-gatekeeper 名前空間に gatekeeper-test-label ラベルが付いていないポッドを作成します。 test-gatekeeper 名前空間には name=test-gatekeeper ラベルが付いています。

     kubectl -n test-gatekeeper run test-deny --image=nginx --restart=Never

     予期される出力:

     Error from server ([denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}): admission webhook "validation.gatekeeper.sh" denied the request: [denied by pod-must-have-gatekeeper-test-label] you must provide labels: {"gatekeeper-test-label"}

     test-gatekeeper 名前空間には name=test-gatekeeper ラベルが付いています。ポッドは gatekeeper-test-label ラベルなしで作成されます。そのため、ポッドの作成は失敗します。

   • 次のコマンドを実行して、test-gatekeeper 名前空間に gatekeeper-test-label ラベルが付いたポッドを作成します。 test-gatekeeper 名前空間には name=test-gatekeeper ラベルが付いています。

     kubectl -n test-gatekeeper run test-pass -l gatekeeper-test-label=pass --image=nginx --restart=Never

     予期される出力:

     pod/test-pass created

     test-gatekeeper 名前空間には name=test-gatekeeper ラベルが付いています。ポッドは gatekeeper-test-label ラベル付きで作成されます。そのため、ポッドの作成は成功します。

   • 次のコマンドを実行して、制約の対象ではない名前空間に name=test-gatekeeper ラベルが付いていないポッドを作成します。

     kubectl -n default run test-deny --image=nginx --restart=Never

     予期される出力:

     pod/test-deny created

     名前空間は制約の対象ではありません。そのため、ポッドの作成は成功します。作成されたポッドには name=test-gatekeeper ラベルは付いていません。

   上記の手順は、gatekeeper を使用して特定の名前空間でのポッドの作成を制限できることを示しています。この例では、名前空間で作成されるポッドには gatekeeper-test-label ラベルが必要です。

リリースノート

2024 年 3 月

2023 年 10 月

2023 年 4 月

2022 年 6 月

2022 年 4 月

2022 年 2 月

2022 年 1 月

2021 年 9 月

2021 年 3 月

2020 年 8 月