2. 环境准备：Kubernetes集群搭建、Gatekeeper安装与配置、OPA约束框架初始化

本章是实战课程的基石。在搭建安全基线门禁之前，必须完成三件事：一个可操作的Kubernetes集群、一个运行中的Gatekeeper实例、以及一套初始化的OPA约束框架。这三层环境缺一不可，任何一层缺失都会导致后续的变更门禁策略无法生效。

2.1 环境全景：三层架构关系

下图展示了本课程实验环境的完整技术栈。从底层集群到上层策略引擎，再到安全基线水位，每一层都依赖下一层提供的基础能力。

2.2 Kubernetes集群搭建

本课程推荐使用 kubeadm 或 Kind 搭建本地实验集群。生产环境可使用托管集群（EKS/AKS/GKE），但本地集群更适合策略调试与回滚测试。

2.2.1 集群版本与组件要求

2.2.2 使用 Kind 快速搭建（推荐实验环境）

# 创建 Kind 集群配置文件
cat <<EOF > kind-config.yaml
kind: Cluster
apiVersion: kind.x-k8s.io/v1alpha4
nodes:
- role: control-plane
  extraPortMappings:
  - containerPort: 443
    hostPort: 443
    protocol: TCP
- role: worker
- role: worker
EOF

# 创建集群
kind create cluster --config kind-config.yaml --name gatekeeper-lab

# 验证集群状态
kubectl cluster-info --context kind-gatekeeper-lab
kubectl get nodes

2.3 Gatekeeper安装与配置

Gatekeeper 是 OPA 的 Kubernetes 原生实现，以 Admission Webhook 形式运行。安装方式推荐使用 Helm Chart，便于版本管理与参数配置。

2.3.1 使用 Helm 安装 Gatekeeper

# 添加 Gatekeeper Helm 仓库
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm repo update

# 安装 Gatekeeper（启用 Mutation 支持）
helm install gatekeeper/gatekeeper \
  --name-template gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace \
  --set webhook.enableMutation=true \
  --set replicas=2 \
  --set auditInterval=60 \
  --set constraintViolationsLimit=100

# 验证安装
kubectl get pods -n gatekeeper-system
kubectl get validatingwebhookconfigurations
kubectl get mutatingwebhookconfigurations

2.3.2 Gatekeeper 核心组件说明

2.4 OPA约束框架初始化

约束框架是 Gatekeeper 的策略定义体系，包含三个核心概念：ConstraintTemplate（约束模板）、Constraint（约束实例）、Rego 策略。初始化阶段需要创建基础的模板与约束，为后续安全基线水位绑定做准备。

2.4.1 约束框架核心概念

2.4.2 创建第一个 ConstraintTemplate

以下模板用于禁止特权容器，这是安全基线的最低要求之一。

apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8spspprivilegedcontainer
spec:
  crd:
    spec:
      names:
        kind: K8sPSPPrivilegedContainer
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8spspprivilegedcontainer

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          container.securityContext.privileged == true
          msg := sprintf("容器 %v 设置了特权模式，违反安全基线", [container.name])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.initContainers[_]
          container.securityContext.privileged == true
          msg := sprintf("Init容器 %v 设置了特权模式，违反安全基线", [container.name])
        }

2.4.3 创建对应的 Constraint 实例

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sPSPPrivilegedContainer
metadata:
  name: block-privileged-containers
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    namespaces:
      - "production"
      - "staging"
  parameters: {}

2.4.4 验证约束框架初始化

创建完成后，通过以下步骤验证约束是否生效：

1. 检查约束状态：kubectl get constraints，确认状态为 Active
2. 测试违规创建：尝试创建一个特权容器 Pod，观察是否被拒绝
3. 查看审计结果：kubectl get constrainttemplates 查看审计状态

# 测试特权容器创建（应被拒绝）
kubectl run privileged-pod --image=nginx --privileged -n production

# 预期输出：
# Error from server (Forbidden): admission webhook "validation.gatekeeper.sh" denied the request:
# 容器 privileged-pod 设置了特权模式，违反安全基线

# 查看约束状态
kubectl get constraint K8sPSPPrivilegedContainer block-privileged-containers -o yaml | grep -A5 status

2.5 环境验证清单

在进入下一章之前，请逐项确认以下环境状态：