3. OPA Gatekeeper 入门：OPA 与 Gatekeeper 概述、架构、安装与核心概念

3.1 OPA 与 Gatekeeper 概述

在云原生生态中，Kubernetes 集群的安全与合规管理是运维的基石。OPA（Open Policy Agent）是一个开源的、通用的策略引擎，它将策略从服务代码中解耦，提供统一的声明式策略语言 Rego。而 Gatekeeper 是 OPA 在 Kubernetes 环境中的原生集成实现，作为 Admission Webhook 运行，在资源创建、更新时拦截请求并进行策略校验。

3.2 Gatekeeper 架构

Gatekeeper 由三个核心组件构成，它们协同工作以实现策略的注册、执行与审计。下图展示了 Gatekeeper 在 Kubernetes 集群中的部署架构与请求流程。

3.3 安装与部署

Gatekeeper 的安装推荐使用 Helm Chart 或直接应用官方 YAML 清单。以下为两种主流部署方式。

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper/gatekeeper --name-template=gatekeeper --namespace gatekeeper-system --create-namespace

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

3.4 核心概念：ConstraintTemplate 与 Constraint

Gatekeeper 的策略体系围绕两个核心 CRD 构建：ConstraintTemplate 和 Constraint。它们的关系类似于“类”与“实例”，或“函数定义”与“函数调用”。

3.4.1 ConstraintTemplate 详解

ConstraintTemplate 是一个集群范围的 CRD 资源，它使用 Rego 语言编写策略逻辑，并可选择性地定义参数 Schema 供 Constraint 传入。以下是一个检查资源必须包含特定标签的模板示例：

apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredlabels
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredLabels
      validation:
        openAPIV3Schema:
          type: object
          properties:
            labels:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8srequiredlabels

        violation[{"msg": msg}] {
          provided := {label | input.review.object.metadata.labels[label]}
          required := {label | label := input.parameters.labels[_]}
          missing := required - provided
          count(missing) > 0
          msg := sprintf("缺少必要标签: %v", [missing])
        }

3.4.2 Constraint 详解

Constraint 是 ConstraintTemplate 的实例化资源，它指定了策略的作用范围（match）和具体参数（parameters）。以下是一个要求所有 Namespace 必须包含 owner 标签的 Constraint 示例：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: require-owner-label
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Namespace"]
  parameters:
    labels:
      - "owner"

3.5 核心概念对比表

3.6 本章小结