32、应用策略、上下文和准入控制保障应用安全

应用策略、上下文和准入控制保障应用安全

1. 使用 Open Policy Agent 进行准入控制

Open Policy Agent（OPA）是一种编写和实施策略的统一方法。其目标是提供一种标准语言来描述各种策略，并将其集成到不同平台中应用。你可以描述数据访问策略并将其部署到 SQL 数据库中，也可以描述 Kubernetes 对象的准入控制策略。OPA 是云原生计算基金会（CNCF）的一个项目，借助 OPA Gatekeeper，它为自定义验证 Webhook 提供了更简洁的替代方案。

1.1 OPA Gatekeeper 功能组成

OPA Gatekeeper 主要由三个部分组成：
1. 部署 Gatekeeper 组件 ：在集群中部署 Gatekeeper 组件，其中包括 Webhook 服务器和通用的 ValidatingWebhookConfiguration。
2. 创建约束模板 ：描述准入控制策略。
3. 创建特定约束 ：基于模板创建特定约束。

1.2 部署 OPA Gatekeeper

在开始使用 OPA Gatekeeper 之前，需要先移除之前添加的自定义 Webhook，并部署 OPA Gatekeeper。操作步骤如下：

# 移除使用 Helm 创建的 Webhook 配置
helm uninstall mutating-webhook
helm uninstall validating