Open Policy Agent Gatekeeper 突变功能详解：实现Kubernetes资源动态修改-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00097/article/details/148574706

Open Policy Agent Gatekeeper 突变功能详解：实现Kubernetes资源动态修改

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

引言

在Kubernetes集群管理中，Open Policy Agent Gatekeeper项目提供了一个强大的策略引擎，而其中的突变(Mutation)功能更是让管理员能够在资源创建请求时动态修改资源定义。本文将深入解析Gatekeeper的突变功能，帮助您理解并掌握这一强大工具。

突变功能概述

突变功能是Gatekeeper v3.7+版本引入的beta特性，它允许管理员定义策略来自动修改Kubernetes资源。与验证性策略不同，突变策略会实际改变资源内容，而不是仅仅检查资源是否符合规范。

突变CRD类型

Gatekeeper提供了三种专门的CRD来定义突变策略：

AssignMetadata - 专门修改资源的metadata部分
Assign - 修改资源metadata以外的任何部分
ModifySet - 对列表类型字段进行添加或删除操作

突变策略结构解析

每个突变CRD都包含三个核心部分：

1. 变更范围(Extent of changes)

这部分定义了哪些资源会被修改，使用与约束(Constraints)相同的匹配条件：

match:
  scope: Namespaced | Cluster
  kinds:
  - apiGroups: []
    kinds: []
  labelSelector: []
  namespaces: []
  namespaceSelector: []
  excludedNamespaces: []

重要说明：

Assign和ModifySet需要applyTo字段来指定资源类型
AssignMetadata不需要applyTo字段
空匹配条件默认匹配所有资源
支持基于名称前缀的glob匹配(如pod-*)

2. 变更意图(Intent)

这部分指定要修改的具体内容和值：

location: "spec.containers[name: foo].imagePullPolicy"
parameters:
  assign:
    value: "Always"

关键点：

location字段使用类似JSONPath的语法定位要修改的字段
支持通配符匹配列表元素(如[name: *])
值可以是简单值或复杂对象
可以从metadata中引用值(如fromMetadata: field: namespace)

3. 条件限制(Conditionals)

定义突变应用的条件，确保只在特定情况下修改资源：

parameters:
  pathTests:
  - subPath: "spec.containers[name: foo]"
    condition: MustExist
  - subPath: "spec.containers[name: foo].securityContext.capabilities"
    condition: MustNotExist

突变类型详解

AssignMetadata

专门用于修改资源的metadata部分，目前仅允许添加labels和annotations：

apiVersion: mutations.gatekeeper.sh/v1beta1
kind: AssignMetadata
metadata:
  name: demo-annotation-owner
spec:
  location: "metadata.labels.owner"
  parameters:
    assign:
      value: "admin"

安全限制：

只能添加新的label/annotation
不能修改已存在的label/annotation
不能修改metadata的其他部分(如name/namespace)

ModifySet

专门用于列表类型字段的添加/删除操作：

apiVersion: mutations.gatekeeper.sh/v1beta1
kind: ModifySet
metadata:
  name: remove-err-logging
spec:
  location: "spec.containers[name: *].args"
  parameters:
    operation: prune  # 或merge
    values:
      fromList:
        - --alsologtostderr

操作类型：

merge: 添加列表中不存在的值
prune: 从列表中删除指定的值

实战示例

示例1：为所有命名空间资源添加owner标签

apiVersion: mutations.gatekeeper.sh/v1beta1
kind: AssignMetadata
metadata:
  name: demo-annotation-owner
spec:
  match:
    scope: Namespaced
  location: "metadata.labels.owner"
  parameters:
    assign:
      value: "admin"

示例2：设置特定命名空间中Pod的安全上下文

apiVersion: mutations.gatekeeper.sh/v1beta1
kind: Assign
metadata:
  name: demo-privileged
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
    versions: ["v1"]
  match:
    scope: Namespaced
    namespaces: ["bar"]
  location: "spec.containers[name:foo].securityContext.privileged"
  parameters:
    assign:
      value: false
    pathTests:
    - subPath: "spec.containers[name:foo]"
      condition: MustExist

示例3：为所有Pod添加sidecar容器

apiVersion: mutations.gatekeeper.sh/v1beta1
kind: Assign
metadata:
  name: demo-sidecar
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
    versions: ["v1"]
  match:
    scope: Namespaced
  location: "spec.containers[name:networking]"
  parameters:
    assign:
      value:
        name: "networking"
        imagePullPolicy: Always
        image: quay.io/foo/bar:latest
        command: ["/bin/bash", "-c", "sleep INF"]