Open Policy Agent Gatekeeper 突变功能深度解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00704/article/details/148552504

Open Policy Agent Gatekeeper 突变功能深度解析

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

前言

Open Policy Agent Gatekeeper 作为 Kubernetes 准入控制器的重要组件，其突变(Mutation)功能自 v3.4 版本以 alpha 特性引入后，为集群资源管理带来了全新的可能性。本文将深入解析这一功能的设计理念、实现机制以及实际应用场景。

突变功能概述

突变功能允许 Gatekeeper 在请求时根据自定义策略修改 Kubernetes 资源。与验证(Validation)功能不同，突变会主动改变资源内容而非仅进行检查。这种能力特别适合以下场景：

自动添加资源标签和注解
设置默认资源属性
强制实施安全配置
注入标准化的容器配置

核心概念解析

1. 突变 CRD 类型

Gatekeeper 提供了两种专用 CRD 来实现突变功能：

AssignMetadata：专门用于修改资源的元数据部分
- 只能操作 labels 和 annotations
- 限制更严格，避免意外修改关键元数据
Assign：用于修改资源除元数据外的其他部分
- 功能更全面
- 可以修改 spec、status 等部分

2. 突变策略结构

每个突变 CRD 都包含三个关键部分：

变更范围(Extent of changes)

定义哪些资源会被修改，支持多种过滤条件：

资源类型(kind)
命名空间(namespace)
标签选择器(labelSelector)
命名空间选择器(namespaceSelector)

示例配置：

match:
  scope: Namespaced
  kinds:
  - apiGroups: ["apps"]
    kinds: ["Deployment"]
  namespaces: ["production"]
  excludedNamespaces: ["kube-system"]

变更意图(Intent)

定义要修改的具体内容和值：

location：指定要修改的字段路径
parameters.assign.value：设置的新值

路径语法支持：

直接字段访问：spec.replicas
列表元素匹配：spec.containers[name:nginx].image
通配符：spec.containers[name:*].securityContext

变更条件(Conditionals)

定义应用突变的前提条件，通过pathTests实现：

MustExist：路径必须存在才应用突变
MustNotExist：路径必须不存在才应用突变

高级用法详解

1. 元数据突变实践

用例：为所有命名空间资源添加"owner"注解

apiVersion: mutations.gatekeeper.sh/v1alpha1
kind: AssignMetadata
metadata:
  name: default-owner
spec:
  match:
    scope: Namespaced
  location: "metadata.annotations.owner"
  parameters:
    assign:
      value: "platform-team"

安全考虑：

避免修改关键元数据如name/namespace
注解和标签变更不会影响资源标识
建议使用清晰的前缀避免冲突

2. 资源规范突变实践

用例1：强制非特权容器

apiVersion: mutations.gatekeeper.sh/v1alpha1
kind: Assign
metadata:
  name: enforce-nonprivileged
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
  match:
    scope: Namespaced
  location: "spec.containers[name:*].securityContext.privileged"
  parameters:
    assign:
      value: false
    pathTests:
    - subPath: "spec.containers[name:*].securityContext"
      condition: MustExist

用例2：自动注入sidecar容器

apiVersion: mutations.gatekeeper.sh/v1alpha1
kind: Assign
metadata:
  name: inject-logging-sidecar
spec:
  applyTo:
  - groups: [""]
    kinds: ["Pod"]
  match:
    scope: Namespaced
    excludedNamespaces: ["kube-system"]
  location: "spec.containers[name:log-agent]"
  parameters:
    assign:
      value:
        name: log-agent
        image: fluentd:latest
        resources:
          limits:
            memory: "128Mi"
            cpu: "100m"