OPA nedir?

Open Policy Agent'ın politika motoru olduğunu öğrenirsin.

OPA nedir?

Open Policy Agent (OPA), politikaları koddan ayıran genel amaçlı bir politika motorudur. Bir istek (JSON) ve kurallar alır, "izin ver / reddet" ya da ihlal listesi döndürür. Kubernetes'te admission aşamasında çalışarak kurum kurallarını zorunlu kılar:

Her deployment'ta takim ve ortam etiketi olmalı.
Image'lar yalnızca şirket registry'sinden çekilmeli.
latest etiketi ve root container yasak.
Her container kaynak sınırı yazmalı.

istek (AdmissionReview) ─► OPA/Gatekeeper ─► ihlal yok  -> kabul
                                             └─► ihlal var  -> "eksik etiket: takim" ile ret

Gatekeeper ve Kyverno

Kubernetes için OPA, Gatekeeper projesiyle gelir: politikalar CRD olarak yazılır ve bir validating admission webhook ile uygulanır. Alternatif Kyverno politikaları doğrudan YAML ile yazar. Kubernetes'in yerleşik ValidatingAdmissionPolicy özelliği de basit kurallar için CEL kullanır.

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper gatekeeper/gatekeeper -n gatekeeper-system --create-namespace
kubectl get pods -n gatekeeper-system

Uygulama Gatekeeper'ı kur

Üç komut yaz: gatekeeper deposunu https://open-policy-agent.github.io/gatekeeper/charts adresiyle ekle; gatekeeper/gatekeeper chart'ını gatekeeper adıyla gatekeeper-system namespace'ine (yoksa oluşturarak) kur; gatekeeper-system'deki pod'ları listele.

Örnek çözümü göster

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper gatekeeper/gatekeeper -n gatekeeper-system --create-namespace
kubectl get pods -n gatekeeper-system

Kendini test et

RBAC ile OPA politikaları arasındaki fark nedir?
- RBAC image'ları denetler
- RBAC kimin ne yapabileceğine, OPA nesnenin içeriğine bakar
- İkisi aynıdır
- OPA kullanıcı oluşturur
Cevabı göster

RBAC kimin ne yapabileceğine, OPA nesnenin içeriğine bakar — RBAC "deployment oluşturabilir mi?", OPA "bu deployment kurallara uyuyor mu?" sorusunu yanıtlar.

Gatekeeper chart'ını kur.

helm ____ gatekeeper gatekeeper/gatekeeper -n gatekeeper-system --create-namespace

Cevabı göster

helm install gatekeeper gatekeeper/gatekeeper -n gatekeeper-system --create-namespace

Eşleştir.

OPA

Politika motoru
Gatekeeper

Kubernetes için OPA
Kyverno

YAML tabanlı politika
admission webhook

Uygulama noktası

Sıradaki ders: Rego dili

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler