Open Policy Agent Gatekeeper 安装与卸载指南

Open Policy Agent Gatekeeper 安装与卸载指南

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

前言

Open Policy Agent (OPA) Gatekeeper 是一个强大的 Kubernetes 准入控制器，它通过策略即代码的方式帮助管理员和执行 Kubernetes 集群中的策略。本文将详细介绍 Gatekeeper 的安装与卸载过程，包括多种安装方式和注意事项。

安装前准备

Kubernetes 版本要求

Gatekeeper 支持的最低 Kubernetes 版本与 Kubernetes 官方支持的版本策略保持一致。需要注意的是，Gatekeeper 依赖于 Kubernetes v1.16 版本引入的资源类型。

RBAC 权限要求

在安装 Gatekeeper 前，请确保您拥有集群管理员权限。可以通过以下命令创建集群角色绑定：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法

方法一：使用预构建镜像安装

这是最简单的安装方式，适合大多数用户：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.19.1/deploy/gatekeeper.yaml

此命令会部署 Gatekeeper 的所有必要组件，包括：

• 自定义资源定义(CRD)
• 控制器管理器
• 审计功能
• 验证webhook

方法二：使用开发镜像安装

如果您需要使用最新的开发版本，可以使用以下镜像标签：

• openpolicyagent/gatekeeper:dev - 最新的开发版本
• openpolicyagent/gatekeeper:<SHA> - 特定提交的构建版本

方法三：从源码构建安装

对于需要自定义构建的高级用户，可以按照以下步骤操作：

1. 确保已安装 Docker 20.10 或更高版本
2. 设置 kubectl 上下文指向目标集群
3. 准备一个可写入且目标集群可读取的容器注册表

构建和部署步骤：

# 克隆仓库
git clone https://github.com/open-policy-agent/gatekeeper.git
cd gatekeeper

# 构建并推送镜像
export DESTINATION_GATEKEEPER_IMAGE=<您的注册表地址>
make docker-buildx REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE OUTPUT_TYPE=type=registry

# 部署
make deploy REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE

方法四：使用 Helm 安装

Gatekeeper 提供了 Helm chart 支持：

# 添加 Helm 仓库
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

# 安装 Gatekeeper
helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace

如需自定义部署，可以修改 charts/gatekeeper/values.yaml 文件中的配置。

卸载 Gatekeeper

预构建镜像方式卸载

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.19.1/deploy/gatekeeper.yaml

源码构建方式卸载

cd gatekeeper
make uninstall

Helm 方式卸载

helm delete gatekeeper --namespace gatekeeper-system

# 删除 CRD
kubectl delete crd -l gatekeeper.sh/system=yes

注意：卸载操作会删除所有 Gatekeeper 相关资源，包括用户配置的策略模板和约束。

最佳实践建议

1. 生产环境建议使用预构建的稳定版本
2. 开发环境可以尝试使用开发版本或自定义构建
3. 使用 Helm 安装便于后续管理和升级
4. 卸载前请确保备份重要策略配置
5. 考虑在安装前为 Gatekeeper 创建专用的命名空间

通过以上步骤，您应该能够顺利地在 Kubernetes 集群中部署和管理 Gatekeeper，为您的集群提供强大的策略执行能力。

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper