Open Policy Agent Gatekeeper 使用 PubSub 实现审计违规事件推送-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00883/article/details/148552440

Open Policy Agent Gatekeeper 使用 PubSub 实现审计违规事件推送

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

功能概述

Open Policy Agent Gatekeeper 从 v3.13 版本开始引入了一项 Alpha 功能，允许通过发布-订阅(PubSub)模式推送审计发现的违规事件。这项功能为集群管理员提供了一种实时获取策略违规信息的新方式，相比传统的轮询方式具有更好的实时性和资源利用率。

核心概念解析

发布-订阅模式的优势

在 Kubernetes 策略执行场景中，传统的违规获取方式通常需要定期查询 API 服务器或检查约束状态。而 PubSub 模式则实现了事件驱动架构：

实时性：违规事件发生后立即通知订阅者
解耦：发布者和订阅者不需要相互感知
扩展性：可以轻松添加新的订阅者而不影响现有系统

技术实现架构

Gatekeeper 的 PubSub 功能采用插件化设计，当前支持 Dapr 作为消息代理中间件。Dapr 是一个可移植的、事件驱动的运行时，它抽象了底层消息系统的复杂性，支持多种消息代理实现（如 Redis、Kafka 等）。

配置指南

前置准备

Dapr 安装：
- 确保在 Kubernetes 集群中正确安装 Dapr
- 特别注意设置 SIDECAR_DROP_ALL_CAPABILITIES=true 以满足 Gatekeeper 的安全策略要求
- 配置适当的 seccompProfile 以避免 PodSecurity 违规
消息中间件准备：
- 示例中使用 Redis 作为消息代理，但 Dapr 支持多种存储后端
- 生产环境建议启用 TLS 加密通信

Gatekeeper 配置步骤

启用 PubSub 功能：在 Helm 安装或升级时设置以下参数：

audit:
  enablePubsub: true
  connection: "audit-connection"  # 连接配置名称
  channel: "audit-channel"       # 发布频道名称

连接配置：创建 ConfigMap 指定 PubSub 提供者和配置：

apiVersion: v1
kind: ConfigMap
metadata:
  name: audit-connection
data:
  provider: "dapr"
  config: |
    {
      "component": "pubsub"
    }

Dapr 组件配置：在 Gatekeeper 命名空间中部署 Redis 组件：

apiVersion: dapr.io/v1alpha1
kind: Component
metadata:
  name: pubsub
spec:
  type: pubsub.redis
  metadata:
  - name: redisHost
    value: redis-service.default:6379
  - name: redisPassword
    secretKeyRef:
      name: redis
      key: redis-password

订阅者实现

示例订阅者部署：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: violation-subscriber
spec:
  template:
    metadata:
      annotations:
        dapr.io/enabled: "true"
        dapr.io/app-id: "violation-subscriber"
    spec:
      containers:
      - name: subscriber
        image: your-subscriber-image

消息处理：订阅者需要实现消息接收逻辑，处理 JSON 格式的违规事件。

违规事件数据结构

Gatekeeper 发布的违规事件包含以下关键信息：

{
  "id": "事件唯一标识",
  "eventType": "violation_audited",
  "details": {
    "违规详情字段": ["具体违规内容"]
  },
  "group": "constraints.gatekeeper.sh",
  "version": "约束版本",
  "kind": "约束类型",
  "name": "约束名称",
  "message": "人类可读的违规描述",
  "enforcementAction": "执行动作(如deny)",
  "resourceAPIVersion": "违规资源API版本",
  "resourceKind": "违规资源类型",
  "resourceNamespace": "资源所在命名空间",
  "resourceName": "资源名称",
  "resourceLabels": {"资源标签": "值"}
}

生产环境建议

可靠性考虑：
- 实现消息确认机制确保事件不丢失
- 考虑消息持久化和重试策略
性能优化：
- 在高负载集群中，评估消息代理的性能需求
- 考虑批量发布以减少消息数量
安全建议：
- 启用 Dapr 的 mTLS 功能
- 限制订阅者的访问权限

故障排查

常见问题：
- 检查 Dapr sidecar 是否成功注入到 audit pod
- 验证 Redis 连接配置是否正确
- 确认订阅者应用已正确注册到 Dapr

日志检查：

# 检查 Gatekeeper audit pod 日志
kubectl logs -l control-plane=audit-controller

# 检查 Dapr sidecar 日志
kubectl logs -l control-plane=audit-controller -c daprd