Meydan okuma - OPA

Rego ile bir politika yazarsın.

Meydan okuma: latest yasağı

Bu meydan okumada latest etiketli ya da etiketsiz image'ları yasaklayan bir Gatekeeper politikası yazacaksın. Kural pod'lara uygulanacak; önce yalnızca uyaracak, ihlaller temizlenince reddedecek:

nginx           -> ihlal (etiket yok, latest sayılır)
nginx:latest    -> ihlal
nginx:1.27      -> uygun
ghcr.io/sirket/api@sha256:… -> uygun

Rego'da endswith ve contains yerleşik fonksiyonlarını kullanacaksın.

Uygulama Rego kuralları

Rego kodunu yaz: package k8slatestyasak; iki violation[{"msg": msg}] kuralı. İlki c := input.review.object.spec.containers[_], endswith(c.image, ":latest"), msg := sprintf("latest yasak: %v", [c.image]). İkincisi aynı c ile not contains(c.image, ":"), msg := sprintf("etiket yok: %v", [c.image]).

Örnek çözümü göster

package k8slatestyasak

violation[{"msg": msg}] {
  c := input.review.object.spec.containers[_]
  endswith(c.image, ":latest")
  msg := sprintf("latest yasak: %v", [c.image])
}

violation[{"msg": msg}] {
  c := input.review.object.spec.containers[_]
  not contains(c.image, ":")
  msg := sprintf("etiket yok: %v", [c.image])
}

Uygulama Önce uyar

Bir K8sLatestYasak Constraint YAML'ı yaz: constraints.gatekeeper.sh/v1beta1; adı latest-yasak; enforcementAction: warn; match.kinds altında apiGroups: [""], kinds: ["Pod"]; excludedNamespaces: ["kube-system"].

Örnek çözümü göster

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sLatestYasak
metadata:
  name: latest-yasak
spec:
  enforcementAction: warn
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    excludedNamespaces: ["kube-system"]

Kendini test et

Rego'da aynı adlı iki violation kuralı yazılırsa ne olur?
- İkisi de tetiklenmelidir (VE)
- İhlaller birleşir; herhangi biri tetiklenirse ihlal oluşur (VEYA)
- Derleme hatası
- Yalnızca ikincisi çalışır
Cevabı göster

İhlaller birleşir; herhangi biri tetiklenirse ihlal oluşur (VEYA) — Kural içindeki satırlar VE, aynı adlı kurallar VEYA anlamına gelir.

Image'ın latest ile bitip bitmediğine bak.

  ____(c.image, ":latest")

Cevabı göster

  endswith(c.image, ":latest")

Eşleştir.

endswith

Sonu denetle
contains

İçeriyor mu
warn

Önce uyar
deny

Sonra reddet

Sıradaki ders: Meydan okuma - Uzman projesi

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler