OPA Gatekeeper与回滚策略集成的变更门禁部署 - 第2节

OPA 与 Gatekeeper 的关系

在 Kubernetes 策略引擎生态中，OPA（Open Policy Agent） 是通用策略引擎，而 Gatekeeper 是 OPA 在 Kubernetes 上的原生集成实现。理解两者关系是掌握 Gatekeeper 架构的前提。

Gatekeeper 架构组件

Gatekeeper 由三个核心组件构成：Audit（审计）、Webhook（准入控制）、ConstraintTemplate（约束模板）。三者协同工作，形成“定义 → 执行 → 审计”的闭环策略体系。

1. ConstraintTemplate（约束模板）

ConstraintTemplate 是 Gatekeeper 的策略定义层，本质上是一个 CustomResourceDefinition（CRD）。它封装了 Rego 策略逻辑和参数 schema，是策略的“蓝图”。

• Rego 策略体：使用 Rego 语言编写，定义违规判定逻辑
• 参数 schema：使用 OpenAPI v3 格式定义约束实例可传入的参数
• 目标资源类型：指定该策略作用于哪些 Kubernetes 资源（如 Pod、Service、Namespace）
• 自动生成 CRD：创建 ConstraintTemplate 后，Gatekeeper 自动生成对应的约束 CRD

# ConstraintTemplate 示例：禁止特权容器
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8spspprivilegedcontainer
spec:
  crd:
    spec:
      names:
        kind: K8sPSPPrivilegedContainer
      validation:
        openAPIV3Schema:
          type: object
          properties:
            exemptImages:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8spspprivilegedcontainer
        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          container.securityContext.privileged == true
          msg := sprintf("容器 %v 设置了 privileged=true，禁止运行", [container.name])
        }

2. Webhook（准入控制）

Webhook 是 Gatekeeper 的 实时策略执行层。它通过 Kubernetes ValidatingAdmissionWebhook 机制，在资源创建或更新时拦截请求，执行 Rego 策略判定。

3. Audit（审计）

Audit 是 Gatekeeper 的 合规扫描层，弥补 Webhook 无法覆盖的场景（如已存在的资源、Webhook 超时绕过、DELETE 操作）。

• 扫描周期：默认每 60 秒扫描一次集群中所有已有资源
• 违规标记：将违规结果写入 ConstraintStatus 对象的 violations 字段
• 审计结果查询：通过 kubectl get constraintstatus 查看
• 与 Webhook 互补：Webhook 拦截新请求，Audit 扫描存量资源

# 查看审计结果
kubectl get constraintstatus K8sPSPPrivilegedContainer -o yaml

# 输出示例（简化）
apiVersion: status.gatekeeper.sh/v1beta1
kind: ConstraintStatus
metadata:
  name: k8spspprivilegedcontainer
status:
  auditTimestamp: "2025-01-15T10:30:00Z"
  violations:
    - enforcementAction: deny
      kind: Pod
      name: privileged-pod-xyz
      namespace: default
      message: "容器 nginx 设置了 privileged=true，禁止运行"

三组件协作流程

Gatekeeper 的三个组件并非孤立运行，而是形成完整的策略生命周期：

1. 定义阶段：管理员创建 ConstraintTemplate（策略模板）和 Constraint（约束实例）
2. 执行阶段：Webhook 实时拦截新资源请求，执行 Rego 策略，返回 allow/deny
3. 审计阶段：Audit 周期性扫描集群已有资源，发现违规并更新状态
4. 反馈阶段：管理员通过 ConstraintStatus 查看违规详情，进行人工干预或自动化修复

组件对比总结