4. OPA与Kubernetes集成：Kube-mgmt、Admission Webhook配置、OPA Gatekeeper安装与部署

将OPA从策略引擎转变为Kubernetes原生的准入控制器，需要完成三个关键组件的集成：Kube-mgmt（数据同步）、Admission Webhook（请求拦截）与OPA Gatekeeper（策略生命周期管理）。本章将逐一拆解其架构原理与部署步骤。

4.1 集成架构总览

下图展示了OPA与Kubernetes API Server之间的核心交互流程：

4.2 Kube-mgmt：数据同步组件

Kube-mgmt 是 OPA 社区提供的辅助组件，负责将 Kubernetes 集群资源（如 Namespace、Pod、Service 等）自动同步到 OPA 的数据文档中，使策略能够基于实时集群状态做出决策。

功能	说明	配置方式
资源缓存	监听 Kubernetes API，将资源对象缓存为 OPA 的 data.kubernetes.* 文档	通过 --replicate 参数指定资源类型
ConfigMap 同步	将指定 Namespace 下的 ConfigMap 自动加载为 OPA 策略	通过 --policies 参数指定策略路径
集群状态感知	支持 data.kubernetes.namespaces、data.kubernetes.services 等查询	无需额外配置，自动注入

apiVersion: apps/v1
kind: Deployment
metadata:
  name: opa
  namespace: opa-system
spec:
  template:
    spec:
      containers:
      - name: opa
        image: openpolicyagent/opa:latest
        args:
        - "run"
        - "--server"
        - "--addr=0.0.0.0:8181"
      - name: kube-mgmt
        image: openpolicyagent/kube-mgmt:latest
        args:
        - "--replicate=namespace,service,deployment"
        - "--policies=/policies"

4.3 Admission Webhook 配置

Kubernetes 的 ValidatingAdmissionWebhook 是 OPA 拦截资源创建/更新请求的入口。需要完成以下配置步骤：

1. 生成 TLS 证书：Webhook 必须通过 HTTPS 与 API Server 通信，需为 OPA 服务签发证书。
2. 创建 Webhook 配置：定义 ValidatingWebhookConfiguration 资源，指定 OPA 服务的 URL 或 Service 引用。
3. 配置规则与操作：明确需要拦截的资源类型（如 Pod、Service、NetworkPolicy）和操作（CREATE、UPDATE）。
4. 设置超时与失败策略：建议 timeoutSeconds: 5，failurePolicy: Fail 确保策略强制执行。

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: opa-validating-webhook
webhooks:
- name: opa.kubernetes.admission
  clientConfig:
    service:
      name: opa
      namespace: opa-system
      path: /v1/admission
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["*"]
    apiVersions: ["*"]
    resources: ["pods", "services", "networkpolicies"]
  failurePolicy: Fail
  timeoutSeconds: 5

4.4 OPA Gatekeeper：策略即代码框架

OPA Gatekeeper 是 CNCF 孵化的项目，在原生 OPA 之上提供了 CRD 驱动的策略管理、约束模板和审计能力，成为企业级策略引擎的事实标准。

4.4.1 核心概念对比

概念	原生 OPA	OPA Gatekeeper
策略定义	Rego 文件 + ConfigMap	ConstraintTemplate (CRD)
策略实例化	手动编写 Webhook 规则	Constraint (CRD) 自动生成
审计能力	无内置审计	内置审计引擎，定期检查集群状态
策略版本管理	依赖外部 GitOps	CRD 原生支持版本化

4.4.2 安装与部署步骤

以下流程基于 Gatekeeper v3.14+ 版本：

1. 安装 Gatekeeper 组件：使用官方 Helm Chart 或静态 YAML 部署。
2. 验证组件状态：确认 gatekeeper-controller-manager 和 gatekeeper-audit Pod 运行正常。
3. 创建 ConstraintTemplate：编写 Rego 策略模板，定义参数 schema。
4. 创建 Constraint：实例化模板，指定匹配的资源范围和参数。
5. 测试与审计：通过 kubectl describe constraint 查看违规资源列表。

# 使用 Helm 安装 Gatekeeper
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system --create-namespace \
  --set replicas=3 \
  --set auditInterval=60

4.5 集成验证与排障

完成部署后，建议执行以下验证步骤：

• 检查 Webhook 注册：kubectl get validatingwebhookconfiguration 确认 OPA/Gatekeeper 的 Webhook 已注册。
• 测试策略生效：尝试创建一个违反策略的资源（如未设置资源限制的 Pod），观察是否被拒绝。
• 查看审计结果：Gatekeeper 用户可通过 kubectl get constraint 查看违反约束的现有资源列表。
• 日志排查：查看 OPA 或 Gatekeeper 的日志，确认请求是否被正确评估。