无法使用 opa 网守在 kubernetes 上的特定命名空间 (prod) 中拒绝具有最新标签的 pod

Posted 2023-04-13

【中文标题】无法使用 opa 网守在 kubernetes 上的特定命名空间 (prod) 中拒绝具有最新标签的 pod

【英文标题】：unable to use opa gatekeeper for denying pods with latest tags in a specific namespace (prod) on kubernetes

【发布时间】：2020-09-16 12:13:36

【问题描述】：

我是 OPA 策略的新手，需要拒绝在我的集群中运行的 pod 使用在其映像中具有最新标签的容器，这必须仅针对 prod 命名空间被拒绝，我遇到的问题是使用的命名空间是什么，如果它们是在图像中使用最新标签创建的，则 pod 将被拒绝！！！！！！，我在这里做错了吗？这是我的约束模板：

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
 name: k8srequiredtags
spec:
 crd:
  spec:
   names:
    kind: k8srequiredtags
   validation:
    # Schema for the `parameters` field
    openAPIV3Schema:
     properties:
      image:
       type: string
 targets:
  - target: admission.k8s.gatekeeper.sh
    rego: |
     package k8srequiredtags
     violation["msg": msg, "details": "Registry should be": required] 
      input.review.object.kind == "Pod"
      some i
      image := input.review.object.spec.containers[i].image
      required := input.parameters.registry
      contains(image, required)
      msg := sprintf("The image tag is not for the production environment, thanks to use specified tags instead of : %v", [image])
      

这是我的限制：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: k8srequiredtags
metadata:
 name: deny-latest-tags
spec:
 match:
  kinds:
   - apiGroups: [""]
     kinds: ["Pod"]
     namespace: ["prod"]
 parameters:
  registry: "latest"

【问题讨论】：

不确定我是否做对了，但基本上问题是约束拒绝了所有命名空间中的最新 pod，而不仅仅是 prod 一个。我说的对吗？

【参考方案1】：

很高兴您正在尝试 OPA 和看门人。

通过快速查看您的代码，我会做出一些改变：

由于您将“Pods”作为一种类型传递，因此在您的约束中，无需在模板中对其进行过滤。你只传递了一种资源：Pod。 您违反规则定义了对象“input.review.object.spec.containers[i].image”。该对象是指 Pod 资源的整个图像属性。因此，它将包括 /:。所以，这可能永远不会只是“最新的”。它可能是对 docker 图像的 URL 的引用。您可能需要解析出标签才能使用它进行比较。 关于您发布的有关命名空间的问题：我认为这与匹配过滤器查找名为“命名空间”而不是“命名空间”的过滤器属性的事实有关 [https://github.com/open-policy -agent/gatekeeper/blob/master/README.md#constraints]。

祝你好运。