3. Gatekeeper 安装与部署：使用 Helm 在 Kubernetes 集群中安装 Gatekeeper，配置准入控制器

3.1 安装方式选型：为什么选择 Helm

在生产环境中部署 OPA Gatekeeper，推荐使用 Helm 作为包管理工具。Helm 提供了声明式的版本管理、参数化配置和便捷的升级回滚能力，能够显著降低 Gatekeeper 组件的运维复杂度。

3.2 前置条件检查

在开始安装之前，请确保集群满足以下条件：

• Kubernetes 版本：v1.20 及以上（推荐 v1.24+）
• Helm 版本：v3.8.0 及以上
• 集群资源：至少预留 2 核 CPU、4 GiB 内存用于 Gatekeeper 控制平面
• RBAC 权限：安装者需具备集群管理员（cluster-admin）权限
• CRD 支持：Kubernetes API Server 需启用 CustomResourceDefinition

3.3 使用 Helm 安装 Gatekeeper

3.3.1 添加 Helm 仓库

# 添加 Gatekeeper 官方 Helm 仓库
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

# 更新仓库索引
helm repo update

3.3.2 安装 Gatekeeper

# 创建命名空间
kubectl create namespace gatekeeper-system

# 使用 Helm 安装（推荐生产配置）
helm install gatekeeper gatekeeper/gatekeeper \
  --namespace gatekeeper-system \
  --set replicas=3 \
  --set auditInterval=60 \
  --set constraintViolationsLimit=100 \
  --set enableExternalData=false \
  --set controllerManager.extraArgs.enable-merge-webhook=true \
  --set webhook.timeoutSeconds=5

3.3.3 验证安装状态

# 检查 Pod 状态
kubectl get pods -n gatekeeper-system

# 预期输出（3 副本示例）：
# NAME                                             READY   STATUS    RESTARTS   AGE
# gatekeeper-audit-5d8f7b6c7f-abc12                1/1     Running   0          2m
# gatekeeper-controller-manager-6f9c8d9c4d-xyz34   1/1     Running   0          2m
# gatekeeper-controller-manager-6f9c8d9c4d-uvw56   1/1     Running   0          2m
# gatekeeper-controller-manager-6f9c8d9c4d-rst78   1/1     Running   0          2m

# 检查 Webhook 配置
kubectl get validatingwebhookconfigurations.admissionregistration.k8s.io
kubectl get mutatingwebhookconfigurations.admissionregistration.k8s.io

3.4 Gatekeeper 组件架构与数据流

下图展示了 Gatekeeper 安装后的核心组件及其在准入控制流程中的交互关系：

3.5 配置准入控制器 Webhook

Gatekeeper 安装后会自动创建 ValidatingWebhookConfiguration 和 MutatingWebhookConfiguration。默认配置会拦截所有命名空间下的资源创建和更新操作。在生产环境中，建议根据容量巡检需求进行精细化调整。

3.5.1 查看默认 Webhook 配置

# 查看验证 Webhook 详情
kubectl get validatingwebhookconfiguration gatekeeper-validating-webhook-configuration -o yaml

3.5.2 配置 Webhook 作用范围

通过 Helm values 文件限制 Webhook 仅作用于特定命名空间或资源类型，避免不必要的性能开销：

# webhook-values.yaml
webhook:
  timeoutSeconds: 5
  failurePolicy: Fail
  namespaceSelector:
    matchExpressions:
      - key: admission.gatekeeper.sh/ignore
        operator: DoesNotExist
  objectSelector: {}
  rules:
    - operations: ["CREATE", "UPDATE"]
      apiGroups: ["*"]
      apiVersions: ["*"]
      resources: ["pods", "deployments", "statefulsets", "services", "configmaps"]
      scope: "Namespaced"

# 使用自定义 values 升级安装
helm upgrade gatekeeper gatekeeper/gatekeeper \
  --namespace gatekeeper-system \
  -f webhook-values.yaml

3.6 安装后验证与健康检查

完成安装后，执行以下步骤确认 Gatekeeper 正常工作：

1. 检查组件日志：确认 Controller Manager 和 Audit 无错误日志
2. 测试准入拦截：创建一个违反约束的测试资源，验证是否被拒绝
3. 检查审计结果：查看 Constraint 状态中是否记录了现有资源的违规信息

# 查看 Controller Manager 日志
kubectl logs -n gatekeeper-system -l app.kubernetes.io/name=gatekeeper --tail=50

# 创建一个简单的测试约束（禁止使用 latest 镜像标签）
cat < 0
          msg := sprintf("Missing required labels: %v", [missing])
        }
EOF

# 创建约束实例
cat <

# 1. 删除所有 Constraint 和 ConstraintTemplate
kubectl delete constraints --all --all-namespaces
kubectl delete constrainttemplates --all

# 2. 卸载 Helm Release
helm uninstall gatekeeper -n gatekeeper-system

# 3. 删除命名空间
kubectl delete namespace gatekeeper-system

# 4. 手动清理残留 CRD（如有）
kubectl delete crd -l gatekeeper.sh/system=yes