16、Gatekeeper在Kubernetes中的应用与策略配置

Gatekeeper在Kubernetes中的应用与策略配置

1. 列出变异Webhook配置

首先，我们可以使用以下命令列出变异Webhook配置：

$ kubectl get mutatingwebhookconfiguration gatekeeper-mutating-webhook-configuration
NAME                                        WEBHOOKS   AGE
gatekeeper-mutating-webhook-configuration   1          3h11m

三个Webhook配置中有两个设置为忽略失败（即失败时开放）。变异Webhook和验证Webhook设置为失败开放，失败策略为“忽略”。第三个Webhook用于检查命名空间是否可以被标记为忽略，设置为失败关闭（failurePolicy: Fail）。这意味着处理资源变异和验证的Webhook在失败时会开放，允许资源创建，即使Webhook服务在规定时间内未响应。这是最安全的设置，因为将failurePolicy设置为Fail可能会导致集群API服务器停止响应API请求。

2. 忽略命名空间

在Kubernetes中，通常建议将某些系统命名空间从验证Webhook中排除。Gatekeeper通过两部分过程实现了此配置。安装时会安装两个验证Webhook配置：一个用于执行API服务器请求验证，另一个用于检查命名空间是否可以被标记为忽略。

2.1 检查验证Webhook配置