Установка Gatekeeper

Gatekeeper — настраиваемый контроллер и аудитор политик для Kubernetes. Gatekeeper принимает поступающие в кластер запросы и в реальном времени проверяет их на соответствие предварительно настроенным политикам.

Перед началом работыПеред началом работы

Убедитесь, что группы безопасности для кластера Managed Service for Kubernetes и его групп узлов настроены корректно. Если отсутствует какое-либо из правил — добавьте его.

Установка с помощью Yandex Cloud MarketplaceУстановка с помощью Yandex Cloud Marketplace

1. Перейдите на страницу каталога и выберите сервис Managed Service for Kubernetes.

2. Нажмите на имя нужного кластера и выберите вкладку Marketplace.

3. В разделе Доступные для установки приложения выберите Gatekeeper и нажмите кнопку Перейти к установке.

4. Задайте настройки приложения:

   • Пространство имен — создайте новое пространство имен (например, gatekeeper-space). Если вы оставите пространство имен по умолчанию, Gatekeeper может работать некорректно.

   • Название приложения — укажите название приложения.

   • Интервал между аудитами — задайте время в секундах между запусками аудитов. Значение 0 отключает выполнение аудитов.

   • Лимит нарушений ограничения — укажите максимальное количество нарушений, которое будет фиксироваться для каждого ограничения.

   • Только совпадающие типы ресурсов — выберите эту опцию, если для каждого ограничения нужно проверять только те типы ресурсов Kubernetes, которые указаны в ограничении в явном виде. Если типы ресурсов не указаны или опция выключена, будут проверяться все ресурсы.

   • Создавать события при аудите — выберите эту опцию, если для каждого выявленного при аудите нарушения ограничения нужно создавать событие (Kubernetes event) с подробной информацией о нарушении.

   • События в затронутом пространстве имен — выберите эту опцию, если события с подробной информацией о нарушении нужно создавать в том пространстве имен, где было зафиксировано нарушение ограничения. Применимо только при включенной опции Создавать события при аудите.

     Если опция События в затронутом пространстве имен выключена, события будут создаваться в пространстве имен, в котором установлен Gatekeeper.

   • Разрешить внешние данные — выберите эту опцию, если нужно включить экспериментальную поддержку внешних источников данных.

5. Нажмите кнопку Установить.

6. Дождитесь перехода приложения в статус Deployed.

Установка с помощью Helm-чартаУстановка с помощью Helm-чарта

1. Установите kubectl и настройте его на работу с созданным кластером.

2. Установите менеджер пакетов Helm версии не ниже 3.8.0.

3. Для установки Helm-чарта с Gatekeeper выполните команду:

   helm pull oci://cr.yandex/yc-marketplace/gatekeeper \
     --version 3.12.0 \
     --untar && \
   helm install \
     --namespace <пространство_имен> \
     --create-namespace \
     gatekeeper ./gatekeeper/
   

Если вы укажете в параметре namespace пространство имен по умолчанию, Gatekeeper может работать некорректно. Рекомендуем указывать значение, отличное от всех существующих пространств имен (например, gatekeeper-space).

Необязательные параметры можно переопределить в команде установки с помощью ключа --set <имя_параметра>=<новое_значение>.

Список доступных для переопределения параметров и их значения по умолчанию приведены в таблице:

См. такжеСм. также

• Документация Gatekeeper

• Библиотека политик Gatekeeper