0

我是 OPA 策略的新手，需要拒绝在我的集群中运行的容器在其映像中具有最新标签的容器，这必须仅针对 prod 命名空间被拒绝，我遇到的问题是使用的命名空间是什么，pod 将是如果它们是在图像中使用最新标签创建的，则被拒绝！！！！！！，我在这里做错了吗？这是我的约束模板：

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
 name: k8srequiredtags
spec:
 crd:
  spec:
   names:
    kind: k8srequiredtags
   validation:
    # Schema for the `parameters` field
    openAPIV3Schema:
     properties:
      image:
       type: string
 targets:
  - target: admission.k8s.gatekeeper.sh
    rego: |
     package k8srequiredtags
     violation[{"msg": msg, "details": {"Registry should be": required}}] {
      input.review.object.kind == "Pod"
      some i
      image := input.review.object.spec.containers[i].image
      required := input.parameters.registry
      contains(image, required)
      msg := sprintf("The image tag is not for the production environment, thanks to use specified tags instead of : %v", [image])
      }

这是我的约束：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: k8srequiredtags
metadata:
 name: deny-latest-tags
spec:
 match:
  kinds:
   - apiGroups: [""]
     kinds: ["Pod"]
     namespace: ["prod"]
 parameters:
  registry: "latest"
4

1 回答 1

0

太好了，您正在尝试 OPA 和看门人。

通过快速查看您的代码，我会更改一些内容：

  • 由于您将“Pods”作为一种传递，因此在您的约束中，无需在模板中对其进行过滤。你只传递了一种资源：Pod。
  • 您违反规则定义了对象“input.review.object.spec.containers[i].image”。该对象是指 Pod 资源的整个图像属性。因此，它将包括 /:。所以，这可能永远不会只是“最新的”。它可能是对 docker 图像的 URL 的引用。您可能需要解析标签才能使用它进行比较。
  • 关于您发布的有关命名空间的问题：我认为这与匹配过滤器查找名为：“命名空间”而不是“命名空间”的过滤器属性的事实有关 [https://github.com/open-policy-agent/看门人/blob/master/README.md#constraints]。

祝你好运。

于 2020-12-09T07:43:30.587 回答