Özet - OPA

Rego ve ConstraintTemplate'i birleştirerek bir politika yazarsın.

Özet: OPA

Bu grupta:

OPA politikaları koddan ayırır; Kubernetes'te admission aşamasında nesne içeriğini denetler (RBAC kimi, OPA içeriği denetler).
Rego: violation kuralları, input.review.object, [_], not; opa eval ve opa test ile yerelde sınanır.
Gatekeeper: admission ile yeni istekleri durdurur, audit ile mevcut ihlalleri raporlar.
ConstraintTemplate mantığı ve parametre tanımını, Constraint hedefleri (match) ve parametreleri tanımlar.
enforcementAction: dryrun → warn → deny ile kademeli devreye alma; sistem namespace'leri hariç tutulur.

kubectl get constrainttemplates
kubectl get constraints

Uygulama Uyarıdan reddetmeye geç

Üç komut yaz: tüm Constraint'leri listele; deployment-etiketleri (k8szorunluetiket) Constraint'ine {"spec":{"enforcementAction":"deny"}} yamasını --type=merge ile uygula; magaza'da nginx:1.27 image'lı deneme deployment'ını --dry-run=server ile oluşturmayı dene.

Örnek çözümü göster

kubectl get constraints
kubectl patch k8szorunluetiket deployment-etiketleri --type=merge -p '{"spec":{"enforcementAction":"deny"}}'
kubectl create deployment deneme --image=nginx:1.27 -n magaza --dry-run=server

Kendini test et

Tüm Constraint'leri türlerinden bağımsız listelemek için hangisi kullanılır?
- kubectl get constraints
- kubectl get policies
- kubectl get rego
- kubectl get admission
Cevabı göster

kubectl get constraints — Gatekeeper tüm Constraint türlerini constraints kategorisinde toplar.

Hedef nesne türünü belirt.

  match:
    ____:
      - apiGroups: ["apps"]
        kinds: ["Deployment"]

Cevabı göster

  match:
    kinds:
      - apiGroups: ["apps"]
        kinds: ["Deployment"]

Eşleştir.

Rego

Politika dili
ConstraintTemplate

Mantık
Constraint

Uygulama
audit

Mevcut ihlaller

Sıradaki ders: Yedekleme stratejisi

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler