Open Policy Agent Gatekeeper 突变功能详解：实现Kubernetes资源动态修改-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00501/article/details/148552152

Open Policy Agent Gatekeeper 突变功能详解：实现Kubernetes资源动态修改

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

什么是Gatekeeper突变功能

Gatekeeper的突变功能允许在请求时根据自定义的突变策略动态修改Kubernetes资源。这一功能从Gatekeeper v3.10版本开始稳定提供，为集群管理员提供了强大的资源修改能力。

突变CRD类型

Gatekeeper提供了三种专门的CRD类型来定义突变策略：

AssignMetadata - 专门用于修改资源的metadata部分
Assign - 用于修改metadata之外的所有部分
ModifySet - 用于从列表中添加或删除条目（如容器参数）

突变CRD结构解析

每个突变CRD都包含三个核心部分：

1. 变更范围（Extent of changes）

这部分定义了哪些资源会被修改，使用与约束相同的匹配条件。示例：

applyTo:
- groups: [""]
  kinds: ["Pod"]
  versions: ["v1"]
match:
  scope: Namespaced
  kinds:
  - apiGroups: ["*"]
    kinds: ["Pod"]
  labelSelector: []
  namespaces: ["default"]

关键点说明：

applyTo字段是Assign和ModifySet必须的，AssignMetadata不需要
match部分支持多种匹配条件，包括作用域、资源类型、标签选择器等
空/未定义的匹配条件默认匹配所有对象

2. 修改意图（Intent）

这部分指定要修改的内容和值：

location: "spec.containers[name: foo].imagePullPolicy"
parameters:
  assign:
    value: "Always"

路径定位技巧：

支持简单路径（如spec.dnsPolicy）
支持列表元素定位（如spec.containers[name: foo]）
支持通配符（如spec.containers[name: *]）

3. 条件限制（Conditionals）

定义修改必须满足的条件：

parameters:
  pathTests:
  - subPath: "spec.containers[name: foo]"
    condition: MustExist
  - subPath: "spec.containers[name: foo].securityContext"
    condition: MustNotExist

三种突变类型详解

1. AssignMetadata

专门用于修改资源的metadata部分，目前仅允许添加labels和annotations：

apiVersion: mutations.gatekeeper.sh/v1
kind: AssignMetadata
metadata:
  name: demo-label-owner
spec:
  location: "metadata.labels.owner"
  parameters:
    assign:
      value: "admin"

安全限制：

只能修改labels和annotations
不能修改已有labels/annotations
不能修改name/namespace等敏感字段

2. Assign

用于修改资源主体部分，功能最强大：

apiVersion: mutations.gatekeeper.sh/v1
kind: Assign
metadata:
  name: demo-security-context
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
    versions: ["v1"]
  location: "spec.containers[name: *].securityContext.privileged"
  parameters:
    assign:
      value: false

高级特性：

支持从metadata中取值（如注入Deployment名称到Pod标签）
支持复杂对象赋值
支持条件判断

3. ModifySet

专门用于列表操作，可以添加或删除列表项：

apiVersion: mutations.gatekeeper.sh/v1
kind: ModifySet
metadata:
  name: remove-log-arg
spec:
  location: "spec.containers[name: *].args"
  parameters:
    operation: prune
    values:
      fromList:
        - --alsologtostderr

操作类型：

merge：添加缺失的值（默认）
prune：删除指定的值

实用案例集锦

案例1：为所有命名空间Pod添加annotation

apiVersion: mutations.gatekeeper.sh/v1
kind: AssignMetadata
metadata:
  name: add-owner-annotation
spec:
  location: "metadata.annotations.owner"
  parameters:
    assign:
      value: "admin"

案例2：设置特定命名空间中Pod的安全上下文

apiVersion: mutations.gatekeeper.sh/v1
kind: Assign
metadata:
  name: set-nonprivileged
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
    versions: ["v1"]
  match:
    namespaces: ["production"]
  location: "spec.containers[name: *].securityContext.privileged"
  parameters:
    assign:
      value: false

案例3：为Pod添加sidecar容器

apiVersion: mutations.gatekeeper.sh/v1
kind: Assign
metadata:
  name: add-networking-sidecar
spec:
  location: "spec.containers[name: networking]"
  parameters:
    assign:
      value:
        name: "networking"
        image: quay.io/network-sidecar:latest
        command: ["/bin/bash", "-c", "sleep INF"]

案例4：自定义DNS配置

apiVersion: mutations.gatekeeper.sh/v1
kind: Assign
metadata:
  name: custom-dns
spec:
  location: "spec.dnsConfig"
  parameters:
    assign:
      value:
        nameservers:
        - 8.8.8.8
        searches:
        - my.domain.com