Container Service for Kubernetes:Configure Pod security policies

Instale e configure ack-policy-external-provider

1. Na página Clusters ACK, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

2. Pesquise por ack-policy-external-provider e siga as instruções na tela para concluir a configuração.

   • ProviderPodNumber: o número de instâncias do componente.

   • ProtectedKinds: adicione os tipos de recursos correspondentes aos CRDs que deseja proteger.

     A proteção contra exclusão de CRD requer a verificação da existência de instâncias do tipo de recurso no cluster. Seguindo o princípio do menor privilégio, o ack-policy-external-provider não possui as permissões de consulta necessárias por padrão e deve ser configurado manualmente.

     Defina ProviderPodNumber (número de réplicas, padrão: 1). Na seção ProtectedKinds, insira os nomes dos tipos de recursos (como pods, policies ou customresources). Clique em Add para adicionar várias entradas ou em Delete para remover uma entrada. Clique em OK.

Definição de API e parâmetros

O ack-policy-external-provider implementa um Provider de dados externo padrão do Gatekeeper. Em um modelo de política Rego, envie uma solicitação de consulta de recursos para este componente chamando a função external_data e especificando provider: ack-policy-external-data-provider.

Os parâmetros da solicitação são definidos no formato JSON. Veja alguns exemplos abaixo.

// Example 1
{
  "action": "ListK8sResource",
  "namespaced": false,
  "group": "",
  "version": "v1",
  "resource": "persistentvolumeclaims"
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "PVCProtector",
  "labelSelector": "protected",
  "limit": 1
}
// Example 2
{
  "action": "GetK8sResource",
  "namespaced": true,
  "namespace": "default",
  "group": "apps",
  "version": "v1",
  "resource": "deployments",
  "requestID": review.uid,
  "userInfo": review.userInfo,
  "requestFrom": "FinOpsPolicy",
  "labelSelector": "protected",
  "limit": 1
}

A tabela a seguir descreve os parâmetros principais.

Exemplo: Impedir exclusão de CRD

Este exemplo mostra como usar o ack-policy-external-provider para implementar uma política avançada comum: proibir a exclusão de um CustomResourceDefinition (CRD) se ainda existirem instâncias de recursos personalizados (CR) associadas.

Esta política é uma regra integrada e não requer implantação manual. Esta seção serve apenas para fins de demonstração.

• Lógica da política

  • Gatilho: o Gatekeeper detecta uma operação DELETE de CRD.

  • Consulta: as políticas Rego usam external_data para chamar o ack-policy-external-provider.

  • Verificação: com base nos parâmetros da solicitação, o componente ack-policy-external-provider consulta o cluster para verificar se existem instâncias CR correspondentes.

  • Decisão: se o resultado da consulta retornar pelo menos uma instância CR, o ack-policy-external-provider devolverá o resultado à política Rego, e a política acabará por deny (rejeitar) essa operação de exclusão.

• Modelo de política (ConstraintTemplate)

  Define a lógica da política.

  apiVersion: templates.gatekeeper.sh/v1beta1
  kind: ConstraintTemplate
  metadata:
    name: blockcrddeletion
    annotations:
      meta.helm.sh/release-name: gatekeeper
      meta.helm.sh/release-namespace: kube-system
      metadata.gatekeeper.sh/version: 1.0.0
    labels:
      app.kubernetes.io/managed-by: Helm
  spec:
    crd:
      spec:
        names:
          kind: BlockCrdDeletion
        validation:
          legacySchema: true
    targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package block_crd_deletion
        violation[{"msg": msg}] {
          before(input.review.operation)
          response := handle(input.review)
          msg := after(response)
        }
  
        before(operation) {
          operation == "DELETE"
        }
  
        handle(review) = response {
          customrequest := {
            "action": "ListK8sResource",
            "namespaced": false,
            "group": review.object.spec.group,
            "version": "",
            "resource": review.object.spec.names.plural,
            "requestID": review.uid,
            "userInfo": review.userInfo,
            "requestFrom": "BlockCrdDeletion",
            "labelSelector": "protected",
            "limit": 1
          }
          request_keys := [json.marshal(customrequest)]
          response := external_data({
            "provider": "ack-policy-external-data-provider",
            "keys": request_keys
          })
        }
  
        after(response) = msg {
          count(response.responses[0]) > 0
          msg := sprintf(
            "The CRD %v is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: %v, etc.",
            [input.review.name, response.responses[0][0]]
          )
        }

• Instância de política (Constraint)

  Aplica o modelo a recursos específicos. Este exemplo aplica a política a todos os CRDs.

  apiVersion: constraints.gatekeeper.sh/v1beta1
  kind: BlockCrdDeletion
  metadata:
    name: block-crd-deletion-rule
  spec:
    enforcementAction: deny
    match:
      kinds:
      - apiGroups:
        - '*'
        kinds:
        - CustomResourceDefinition

• Verifique o resultado

  1. Crie um CRD de teste e uma instância CR correspondente.

     # Create a CRD
     apiVersion: apiextensions.k8s.io/v1
     kind: CustomResourceDefinition
     metadata:
       name: simplestthings.example.com
     spec:
       group: example.com
       scope: Namespaced
       names:
         plural: simplestthings
         singular: simplestthing
         kind: SimplestThing
       versions:
         - name: v1
           served: true
           storage: true
           schema:
             openAPIV3Schema:
               type: object
               properties:
                 spec:
                   type: object
                   properties:
                     message:
                       type: string
     ---
     # Create a CR instance
     apiVersion: example.com/v1
     kind: SimplestThing
     metadata:
       name: my-simple-thing
       namespace: default
       labels:
         protected: "false"
     spec:
       message: "Hello"

  2. Tente excluir o CRD.

     kubectl delete crd simplestthings.example.com

  3. Verifique se a política bloqueia a exclusão e retorna uma mensagem de erro clara.

     Saída esperada:

     Error from server (Forbidden): admission webhook "delete.validation.gatekeeper.sh" denied the request: [block-crd-deletion-rule] The CRD simplestthings.example.com is not allowed to be deleted. Reason: It is not allowed to delete a CRD object when it contains a collection of custom resources. Current existing custom resources: my-simple-thing, etc.