Open Policy Agent Gatekeeper 安装与卸载完全指南

Open Policy Agent Gatekeeper 安装与卸载完全指南

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

前言

Open Policy Agent (OPA) Gatekeeper 是 Kubernetes 中实现策略即代码的关键组件。作为 Kubernetes 的准入控制器，它允许管理员通过声明式策略来强制执行集群范围内的约束。本文将详细介绍 Gatekeeper 的安装与卸载流程，帮助您快速在 Kubernetes 集群中部署这一强大的策略引擎。

安装前准备

Kubernetes 版本要求

Gatekeeper 对 Kubernetes 版本的支持遵循 Kubernetes 官方发布的版本兼容性策略。特别需要注意的是：

• 最低要求 Kubernetes 1.16 或更高版本
• 建议使用当前 Kubernetes 官方支持的稳定版本
• 确保您的集群版本在 Kubernetes 官方维护周期内

权限要求

安装 Gatekeeper 需要集群管理员权限。执行以下命令确保您拥有足够的权限：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法详解

方法一：使用预构建镜像安装（推荐）

这是最简单快捷的安装方式，适合大多数生产环境：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.14.0/deploy/gatekeeper.yaml

此命令会：

1. 创建 gatekeeper-system 命名空间
2. 部署所有必要的 CRD (Custom Resource Definitions)
3. 启动 Gatekeeper 控制器
4. 配置必要的 RBAC 规则

方法二：使用开发镜像安装

如果您需要测试最新开发版本，可以使用开发镜像：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

注意：

• 开发镜像标记为 openpolicyagent/gatekeeper:dev
• 也可以使用特定提交的 SHA 作为镜像标签
• 开发版本可能不稳定，不建议用于生产环境

方法三：从源码构建安装

适合需要自定义构建或开发 Gatekeeper 的场景：

1. 准备环境：

   • Docker 20.10 或更高版本
   • 配置正确的 kubectl 上下文
   • 可写入且目标集群可读取的容器仓库

2. 构建并推送镜像：

export DESTINATION_GATEKEEPER_IMAGE=myregistry.docker.io/gatekeeper
make docker-buildx REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE OUTPUT_TYPE=type=registry

3. 部署到集群：

make deploy REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE

方法四：使用 Helm 安装

Helm 提供了更灵活的部署方式：

1. 添加 Helm 仓库：

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

2. 安装 Gatekeeper：

helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace

3. 自定义配置：

• 修改 charts/gatekeeper/values.yaml 文件
• 重新生成模板：make manifests

卸载 Gatekeeper

预构建镜像方式卸载

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.14.0/deploy/gatekeeper.yaml

源码构建方式卸载

在源码目录执行：

make uninstall

Helm 方式卸载

1. 删除 Helm 发布：

helm delete gatekeeper --namespace gatekeeper-system

2. 清理 CRD（Helm v3 不会自动删除）：

kubectl delete crd -l gatekeeper.sh/system=yes

注意：卸载操作会删除所有 Gatekeeper 相关配置，包括约束模板和约束策略。

最佳实践建议

1. 生产环境建议使用预构建的稳定版本
2. 开发环境可以尝试最新开发版本来测试新功能
3. 使用 Helm 时可以方便地进行版本升级和配置管理
4. 卸载前确保备份重要策略配置
5. 考虑在安装后立即配置审计功能以监控策略合规性

通过以上详细的安装和卸载指南，您应该能够在 Kubernetes 集群中顺利部署和管理 Gatekeeper，为您的集群提供强大的策略执行能力。

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper