搭建 OPA Gatekeeper 策略中心

适用场景

需要用 Rego 编写 Kubernetes 准入策略，统一限制镜像来源、资源限制、标签和权限。Gatekeeper 适合已经有 OPA 经验或需要复杂策略逻辑的团队。

前置条件

• Kubernetes 集群和 kubectl。
• 明确策略模式：Audit 还是 Enforce。
• 规划 ConstraintTemplate 和 Constraint 的命名与作用域。
• 准备系统组件的豁免清单。

步骤

1. 安装 Gatekeeper：

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper gatekeeper/gatekeeper \
  --namespace gatekeeper-system --create-namespace
kubectl -n gatekeeper-system get pods

2. 创建 ConstraintTemplate：

kubectl apply -f - <<'EOF'
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredlabels
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredLabels
      validation:
        openAPIV3Schema:
          type: object
          properties:
            labels:
              type: array
              items: {type: string}
  targets:
  - target: admission.k8s.gatekeeper.sh
    rego: |
      package k8srequiredlabels
      violation[{"msg": msg}] {
        provided := {label | input.review.object.metadata.labels[label]}
        required := {label | label := input.parameters.labels[_]}
        missing := required - provided
        count(missing) > 0
        msg := sprintf("缺少标签: %v", [missing])
      }
EOF

3. 创建 Constraint：

kubectl apply -f - <<'EOF'
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: require-team
spec:
  enforcementAction: dryrun
  match:
    kinds:
    - apiGroups: ["apps"]
      kinds: ["Deployment"]
  parameters:
    labels: ["team", "env"]
EOF

4. 查看审计结果并切换为拒绝：

kubectl get k8srequiredlabels require-team -o yaml
kubectl get constrainttemplate
kubectl patch k8srequiredlabels require-team \
  --type merge -p '{"spec":{"enforcementAction":"deny"}}'

5. 对系统命名空间配置豁免：

spec:
  match:
    excludedNamespaces: ["kube-system", "gatekeeper-system"]

验证

• ConstraintTemplate 和 Constraint 状态正常。
• 违规 Deployment 在 dryrun 模式下出现在审计结果中。
• 切换 deny 后违规资源被拒绝。
• 合规资源不受影响。
• 策略豁免只对指定命名空间生效。

回滚

• 将 enforcementAction 改回 dryrun，立即停止拦截。
• 删除问题 Constraint，保留模板便于修复。
• 升级前备份 ConstraintTemplate 和 Constraint。
• 策略变更先在测试集群验证。

常见坑

• Rego 语法错误，ConstraintTemplate 无法编译。
• match.kinds 的 apiGroups 写错，策略不生效。
• 一开始就 deny，误伤现有工作负载。
• 没有豁免系统命名空间，Gatekeeper 自身被拦截。
• 策略数量过多，准入延迟明显。
• 只做 validate 不做 mutation，默认值仍然缺失。
• 审计周期太长，违规资源长期存在。

相关命令

• kubectl — 管理模板、约束和审计
• helm — 安装和升级
• opa — 本地测试 Rego
• conftest — CI 中验证清单