Installa Policy Controller

Questa pagina mostra come installare Policy Controller. Policy Controller controlla, verifica e applica la conformità dei cluster ai criteri relativi a sicurezza, normative o regole aziendali.

Questa pagina è rivolta ad amministratori e operatori IT che vogliono assicurarsi che tutte le risorse in esecuzione all'interno della piattaforma cloud soddisfino i requisiti di conformità dell'organizzazione fornendo e mantenendo l'automazione per eseguire controlli o applicare le norme. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud, consulta Ruoli e attività utente comuni di GKE Enterprise.

Policy Controller è disponibile se utilizzi la versione Enterprise di Google Kubernetes Engine (GKE). Per saperne di più, consulta i prezzi della versione Enterprise di Google Kubernetes Engine (GKE).

Nota: l'webhook di Policy Controller non si apre quando Policy Controller non è in esecuzione. Questo serve a evitare di interferire con le operazioni del cluster mentre il controller è inattivo (ad esempio durante gli upgrade). Quando il controllore diventa disponibile, i log di controllo registrano le risorse che non rispettano i vincoli.

Attenzione: non utilizzare questi passaggi per i cluster creati da Config Controller, poiché Policy Controller è già incluso. Per ulteriori informazioni, consulta la panoramica di Config Controller.

Prima di iniziare

Prima di iniziare, assicurati di aver eseguito le seguenti operazioni:

1. Installa e inizializza Google Cloud CLI, che fornisce i comandi gcloud, kubectl e nomos utilizzati in queste istruzioni. Se hai già installato l'interfaccia a riga di comando gcloud, ottieni la versione più recente eseguendo gcloud components update. Se utilizzi Cloud Shell, Google Cloud CLI è preinstallato.

2. Assicurati che Open Policy Agent Gatekeeper open source non sia installato sul tuo cluster. In questo caso, disinstalla Gatekeeper prima di installare Policy Controller.

3. Abilita le API richieste:

   console

   1. Abilita l'API GKE Enterprise.

      Abilita l'API GKE Enterprise

   2. Abilita l'API Policy Controller.

      Abilita l'API Policy Controller

   gcloud

   Esegui questo comando:

   gcloud services enable anthos.googleapis.com anthospolicycontroller.googleapis.com
   

4. Crea o assicurati di avere accesso a un cluster che esegue Kubernetes 1.14.x o versioni successive. Potrebbe sembrare che Policy Controller funzioni su versioni di Kubernetes precedenti alla 1.14.x, ma il prodotto non si comporta correttamente.

5. Concedi i ruoli IAM richiesti all'utente che registra il cluster.

6. Se prevedi di utilizzare Google Cloud CLI per configurare Policy Controller, registra il tuo cluster in un parco risorse ora. Se prevedi di utilizzare la console Google Cloud, registra i tuoi cluster quando installi Policy Controller.

7. Se utilizzi cluster collegati a GKE, assicurati che il cluster AKS non abbia il componente aggiuntivo Azure Policy ed evita di etichettare gli spazi dei nomi con la chiave control-plane.

8. Se utilizzi Google Distributed Cloud on VMware o bare metal, assicurati di installare Policy Controller su un cluster utente. Policy Controller non può essere installato su un cluster amministrativo.

Installa Policy Controller

Nota: quando installi Config Sync utilizzando la console Google Cloud o Google Cloud CLI, non puoi utilizzare in un secondo momento i comandi kubectl per modificare la configurazione.

A partire dalla versione 1.16.0, se utilizzi Google Cloud CLI, puoi installare e gestire direttamente Policy Controller (opzione consigliata). La configurazione di Policy Controller tramite l'oggetto ConfigManagement non è più consigliata.

Console

Per installare Policy Controller nella console Google Cloud, completa i seguenti passaggi:

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Fai clic su Configura Policy Controller.

3. (Facoltativo) Per modificare le impostazioni predefinite del parco risorse, fai clic su Personalizza le impostazioni del parco risorse. Nella finestra di dialogo visualizzata, procedi nel seguente modo:

   1. Nella sezione Aggiungi/modifica pacchetti di criteri, includi o escludi un pacchetto di criteri facendo clic sul pulsante di attivazione/disattivazione pertinente.
      Avviso: dopo aver scelto un metodo per applicare i bundle di criteri (manuale, gcloud CLI o console Google Cloud), l'utilizzo di un metodo diverso per installare i bundle di criteri può causare errori nell'ambiente.
   2. Nella sezione Modifica la configurazione di Policy Controller, segui questi passaggi:
      1. Per attivare l'webhook di modifica, seleziona la casella di controllo Attiva webhook di modifica. Questa funzionalità non è compatibile con i cluster Autopilot.
      2. Nella casella Intervallo di audit, inserisci il periodo in secondi tra due controlli consecutivi.
      3. Nella casella Spazi dei nomi esenti, inserisci un elenco di spazi dei nomi. Policy Controller ignora gli oggetti in questi spazi dei nomi.
      4. Per attivare i vincoli di referenza, seleziona la casella di controllo Abilita i modelli di vincolo che fanno riferimento a oggetti diversi dall'oggetto attualmente valutato.
      5. Nell'elenco Versione, seleziona la versione di Controllo criteri che vuoi utilizzare.
   3. Fai clic su Salva modifiche.

4. Fai clic su Configura.

5. Nella finestra di dialogo di conferma, fai clic su Conferma. Se non hai mai attivato Policy Controller, facendo clic su Conferma attivi l'API anthospolicycontroller.googleapis.com e installi Policy Controller sui tuoi cluster.

6. (Facoltativo) Sincronizza i cluster esistenti con le impostazioni predefinite:

   1. Nella scheda Impostazioni, fai clic su Sincronizza con le impostazioni del parco risorse.
   2. Nell'elenco Cluster nel parco risorse, seleziona i cluster che vuoi sincronizzare e poi fai clic su Sincronizza con le impostazioni del parco risorse. Il completamento dell'operazione può richiedere alcuni minuti.

Viene visualizzata la scheda Impostazioni di Policy Controller. Quando Policy Controller è installato e configurato sui tuoi cluster, le colonne di stato mostrano Installato . L'operazione può richiedere diversi minuti.

gcloud policyController

Abilita Policy Controller eseguendo il seguente comando:

gcloud container fleet policycontroller enable \
    --memberships=MEMBERSHIP_NAME

Puoi impostare campi aggiuntivi per configurare Policy Controller. Ad esempio, potresti voler indicare a Policy Controller di esentare alcuni spazi dei nomi dall'applicazione. Per un elenco completo dei campi che puoi configurare, consulta la documentazione di Google Cloud CLI per Policy Controller o esegui gcloud container fleet policycontroller enable --help.

Per impostare le impostazioni a livello di parco risorse per Policy Controller:

1. Crea un file denominato fleet-default.yaml contenente le configurazioni predefinite per Policy Controller. Il campo installSpec è obbligatorio per attivare i valori predefiniti a livello di parco. Questo esempio mostra le opzioni che puoi configurare:

   # cat fleet-default.yaml
   
    policyControllerHubConfig:
     installSpec: INSTALL_SPEC_ENABLED 
     # Uncomment to set default deployment-level configurations.
     # deploymentConfigs:
     #   admission:
     #     containerResources:
     #       limits:
     #        cpu: 1000m
     #         memory: 8Gi
     #       requests:
     #         cpu: 500m
     #         memory: 4Gi
     # Uncomment to set policy bundles that you want to install by default.
     # policyContent:
     #   bundles:
     #     cis-k8s-v1.5.1:
     #       exemptedNamespaces:
     #       - "namespace-name"
     # Uncomment to exempt namespaces from admission.
     # exemptableNamespaces:
     # - "namespace-name"
     # Uncomment to enable support for referential constraints
     # referentialRulesEnabled: true
     # Uncomment to disable audit, adjust value to set audit interval
     # auditIntervalSeconds: 0
     # Uncomment to log all denies and dryrun failures
     # logDeniesEnabled: true
     # Uncomment to enable mutation
     # mutationEnabled: true
     # Uncomment to adjust the value to set the constraint violation limit
     # constraintViolationLimit: 20
     # ... other fields ...
   

2. Applica la configurazione predefinita al tuo parco risorse:

   gcloud container fleet policycontroller enable \
     --fleet-default-member-config=fleet-default.yaml
   

3. Per verificare che la configurazione sia stata applicata, esegui il comando seguente:

   gcloud container fleet policycontroller describe
   

4. Per rimuovere la configurazione predefinita a livello di parco, esegui il seguente comando:

   gcloud container fleet policycontroller enable \
     --no-fleet-default-member-config
   

gcloud ConfigManagement

Attenzione: la configurazione di Policy Controller tramite l'oggetto ConfigManagement non è più consigliata. Utilizza invece gcloud policyController.

1. Prepara la configurazione creando un nuovo apply-spec.yaml manifest o utilizzandone uno esistente. L'utilizzo di un manifest esistente consente di configurare il cluster con le stesse impostazioni utilizzate da un altro cluster.

   Crea nuovo manifest

   Per configurare Policy Controller con nuove impostazioni per il cluster, crea un file denominato apply-spec.yaml e copia al suo interno il seguente file YAML:

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     policyController:
       # Set to true to install and enable Policy Controller
       enabled: true
       # Uncomment to prevent the template library from being installed
       # templateLibraryInstalled: false
       # Uncomment to enable support for referential constraints
       # referentialRulesEnabled: true
       # Uncomment to disable audit, adjust value to set audit interval
       # auditIntervalSeconds: 0
       # Uncomment to log all denies and dryrun failures
       # logDeniesEnabled: true
       # Uncomment to enable mutation
       # mutationEnabled: true
       # Uncomment to exempt namespaces
       # exemptableNamespaces: ["namespace-name"]
       # Uncomment to change the monitoring backends
       # monitoring:
       #     backends:
       #     - cloudmonitoring
       #     - prometheus
     # ...other fields...
   

   Nota: se esenti gli spazi dei nomi, devi anche etichettarli con "admission.gatekeeper.sh/ignore=true". Per istruzioni su come applicare l'etichetta, consulta Escludere gli spazi dei nomi.

   Devi aggiungere un campo spec.policyController e impostare il valore di enabled su true. Puoi scegliere di attivare altre funzionalità di Policy Controller. Tuttavia, il supporto dei vincoli di referenza è disabilitato per impostazione predefinita. Prima di attivarla, assicurati di acquisire familiarità con i limiti della coerenza eventuale.

   Nota: non puoi attivare la mutazione nei cluster Autopilot.

   Utilizza il manifest esistente

   Per configurare il cluster con le stesse impostazioni utilizzate da un altro cluster, recupera le impostazioni da un cluster registrato:

   gcloud alpha container fleet config-management fetch-for-apply \
        --membership=MEMBERSHIP_NAME \
        --project=PROJECT_ID \
        > CONFIG_YAML_PATH
   

   Sostituisci quanto segue:

   • MEMBERSHIP_NAME: il nome dell'appartenenza al cluster registrato con le impostazioni del controller dei criteri che vuoi utilizzare
   • PROJECT_ID: il tuo ID progetto
   • CONFIG_YAML_PATH: il percorso del apply-spec.yaml file

2. Applica il file apply-spec.yaml:

   gcloud beta container fleet config-management apply \
       --membership=MEMBERSHIP_NAME \
       --config=CONFIG_YAML \
       --project=PROJECT_ID
   

   Sostituisci quanto segue:

   • MEMBERSHIP_NAME: il nome dell'appartenenza del cluster registrato che contiene le impostazioni del controller di norme che vuoi utilizzare.
   • CONFIG_YAML: aggiungi il percorso del apply-spec.yaml file.
   • PROJECT_ID: aggiungi il tuo ID progetto.

Il pod viene creato e Policy Controller inizia a verificare e applicare i vincoli.

Verificare l'installazione di Policy Controller

Dopo aver installato Policy Controller, puoi verificare che l'operazione sia stata completata correttamente.

Console

Completa i seguenti passaggi:

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Nella scheda Impostazioni, nella tabella del cluster, controlla la colonna Stato di Policy Controller. Un'installazione riuscita ha lo stato Installata .

gcloud policyController

Esegui questo comando:

gcloud container fleet policycontroller describe --memberships=MEMBERSHIP_NAME

Se l'installazione è andata a buon fine, viene visualizzato membershipStates: MEMBERSHIP_NAME: policycontroller: state: ACTIVE.

gcloud ConfigManagement

Attenzione: la configurazione di Policy Controller tramite l'oggetto ConfigManagement non è più consigliata. Utilizza invece gcloud policyController.

Esegui questo comando:

gcloud beta container fleet config-management status \
    --project=PROJECT_ID

Sostituisci PROJECT_ID con l'ID del tuo progetto.

Dovresti vedere un output simile al seguente esempio:

Name          Status  Last_Synced_Token  Sync_Branch  Last_Synced_Time      Policy_Controller
CLUSTER_NAME  SYNCED  a687c2c            1.0.0        2021-02-17T00:15:55Z  INSTALLED

Un'installazione riuscita ha lo stato INSTALLED nella colonna Policy Controller.

Verificare l'installazione della libreria dei modelli di vincolo

Quando installi Policy Controller, la libreria di modelli di vincolo viene installata per impostazione predefinita. Il completamento dell'installazione può richiedere diversi minuti. Puoi verificare che la libreria di modelli sia stata completata correttamente.

Console

Completa i seguenti passaggi:

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Nella scheda Impostazioni, nella tabella del cluster, seleziona il numero indicato nella colonna Bundle installati. Nel riquadro Stato dei contenuti dei criteri, un'installazione riuscita della libreria di modelli ha lo stato Installata .

gcloud

Esegui questo comando:

kubectl get constrainttemplates

Dovresti vedere un output simile al seguente esempio:

NAME                                      AGE
k8sallowedrepos                           84s
k8scontainerlimits                        84s
k8spspallowprivilegeescalationcontainer   84s
...[OUTPUT TRUNCATED]...

Quando un singolo modello di vincolo è installato correttamente, il suo status.created campo è true.

Interazioni di Policy Controller con Config Sync

Se utilizzi Policy Controller con Config Sync, devi essere consapevole delle seguenti interazioni con le risorse archiviate nella tua fonte attendibile, ad esempio un repository Git, che vengono sincronizzate da Config Sync:

• Non puoi sincronizzare un modello di vincolo che fa parte anche della libreria di modelli, a meno che questa non sia disattivata.

  Attenzione: la disattivazione della raccolta di modelli potrebbe rimuovere alcune delle dipendenze del vincolo. Per ulteriori informazioni, consulta Creare vincoli.

• Se vuoi sincronizzare la risorsa Config memorizzata nello spazio dei nomi gatekeeper-system, devi solo definire la risorsa Config nella fonte di verità. gatekeeper-system Namespace non deve essere definito con questo.

Gestire la libreria dei modelli di vincolo

Per informazioni su come disinstallare o installare i modelli di vincolo, i vincoli associati o la libreria dei modelli di vincolo, consulta Creare vincoli.

Esentare gli spazi dei nomi dall'applicazione

Puoi configurare Policy Controller in modo che ignori gli oggetti all'interno di uno spazio dei nomi. Per ulteriori informazioni, consulta Escludere gli spazi dei nomi da Policy Controller.

Modifica risorse

Policy Controller funge anche da webhook con modifica. Per maggiori informazioni, consulta Modifica risorse.

Visualizzare la versione di Policy Controller

Per scoprire quale versione di Gatekeeper Policy Controller è in uso, visualizza il tag immagine eseguendo il seguente comando:

kubectl get deployments -n gatekeeper-system gatekeeper-controller-manager \
  -o="jsonpath={.spec.template.spec.containers[0].image}"

Il tag Git (o hash) utilizzato per compilare Gatekeeper e il numero di versione dell'operatore ConfigManagement sono inclusi nel tag immagine come segue:

.../gatekeeper:VERSION_NUMBER-GIT_TAG.gBUILD_NUMBER

Ad esempio, per la seguente immagine:

gcr.io/config-management-release/gatekeeper:anthos1.3.2-480baac.g0

• anthos1.3.2 è il numero di versione.
• 480baac è il tag Git.
• 0 è il numero di build.

Eseguire l'upgrade di Policy Controller

Prima di eseguire l'upgrade di Policy Controller, consulta le note di rilascio per informazioni dettagliate sulle modifiche tra le versioni.

Nota: se utilizzi Config Controller per installare e gestire Policy Controller, non è necessario eseguire l'upgrade manualmente. Config Controller è un servizio gestito, quindi Google ne esegue l'upgrade automaticamente. Per informazioni dettagliate sulle modifiche a Config Controller, consulta le note di rilascio di Config Controller.

Per eseguire l'upgrade di Policy Controller, completa i seguenti passaggi:

Console

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Nella scheda Impostazioni, accanto al cluster di cui vuoi eseguire l'upgrade, seleziona Modifica configurazione.
3. Espandi il menu Modifica la configurazione di Policy Controller.
4. Dall'elenco a discesa Versione, seleziona la versione a cui vuoi eseguire l'upgrade.
5. Fai clic su Salva modifiche.

gcloud

Esegui questo comando:

gcloud container fleet policycontroller update \
  --version=VERSION \
  --memberships=MEMBERSHIP_NAME

Sostituisci quanto segue:

• VERSION: la versione a cui vuoi eseguire l'upgrade
• MEMBERSHIP_NAME: il nome dell'abbonamento che hai scelto quando hai registrato il cluster. Puoi trovare il nome dell'abbonamento eseguendo gcloud container fleet memberships list.

Disinstalla Policy Controller

Per disinstallare Policy Controller dai cluster:

Console

Per disattivare Policy Controller sui tuoi cluster, completa le seguenti attività:

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Nella scheda Impostazioni, nella tabella del cluster, seleziona Modifica nella colonna Modifica configurazione.
3. Nel riquadro del cluster, scorri verso il basso ed espandi il menu Informazioni su Controller criteri.
4. Seleziona Disinstalla Policy Controller.
5. Conferma la disinstallazione seguendo le istruzioni nella finestra di dialogo di conferma e selezionando Conferma.

Quando Policy Controller viene disinstallato, le colonne di stato mostrano Non installato .

gcloud policyController

Per disinstallare Policy Controller, esegui il seguente comando:

gcloud container fleet policycontroller disable \
  --memberships=MEMBERSHIP_NAME

Sostituisci MEMBERSHIP_NAME con il nome dell'appartenenza del cluster registrato su cui disattivare Policy Controller. Puoi specificare più iscrizioni separate da una virgola.

gcloud ConfigManagement

Attenzione: la configurazione di Policy Controller tramite l'oggetto ConfigManagement non è più consigliata. Utilizza i comandi gcloud Policy Controller.

Per disinstallare Policy Controller:

1. Modifica la configurazione dell'operatore ConfigManagement nel apply-spec.yaml file e imposta policyController.enabled su false.

2. Applica le modifiche nel file apply-spec.yaml:

    gcloud beta container fleet config-management apply \
        --membership=CLUSTER_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   Sostituisci quanto segue:

   • CLUSTER_NAME: aggiungi il cluster registrato a cui vuoi applicare questa configurazione.
   • CONFIG_YAML: aggiungi il percorso del file apply-spec.yaml.
   • PROJECT_ID: aggiungi il tuo ID progetto.

Nota: la disinstallazione di Policy Controller rimuove tutti i vincoli e i modelli archiviati nel cluster.

Rimuovi l'operatore ConfigManagement

Se hai installato Policy Controller tramite l'oggetto ConfigManagement, devi anche rimuovere l'operatore ConfigManagement dai tuoi cluster.

Per rimuovere l'operatore ConfigManagement, esegui i seguenti comandi:

1. Elimina l'oggetto ConfigManagement dal cluster:

   kubectl delete configmanagement --all
   

   Dopo aver eseguito questo comando, si verificano le seguenti operazioni:

   • Tutti i ClusterRole e ClusterRoleBindings creati nel cluster dall'operatore ConfigManagement vengono eliminati dal cluster.
   • Tutte le configurazioni dei controller di ammissione installate da ConfigManagement Operator vengono eliminate.
   • I contenuti dello spazio dei nomi config-management-system vengono eliminati, con l'eccezione del segreto git-creds e, per le versioni di Policy Controller a partire dalla 1.9.0, del deployment config-management-operator e del pod config-management-operator. L'operatore ConfigManagement non può funzionare senza lo spazio dei nomi config-management-system. Tutti i CustomResourceDefinitions (CRD) creati o modificati dal controller ConfigManagement Operator vengono rimossi dai cluster in cui sono stati creati o modificati. Il CRD necessario per eseguire ConfigManagement Operator esiste ancora perché dal punto di vista di Kubernetes, sono stati aggiunti dall'utente che ha installato ConfigManagement Operator. Le informazioni sulla rimozione di questi componenti sono riportate nel passaggio successivo.

2. Se devi conservare il segreto git-creds, fallo ora:

   kubectl -n config-management-system get secret git-creds -o yaml
   

3. Elimina lo spazio dei nomi config-management-system:

   kubectl delete ns config-management-system
   

4. Elimina lo spazio dei nomi config-management-monitoring:

   kubectl delete ns config-management-monitoring
   

5. Elimina CustomResourceDefinition ConfigManagement:

   kubectl delete crd configmanagements.configmanagement.gke.io
   

RBAC e autorizzazioni di Policy Controller

Policy Controller include carichi di lavoro con privilegi elevati. Le autorizzazioni per questi workload sono trattate nella documentazione delle operazioni di Open Policy Agent Gatekeeper.

Richieste di risorse di Policy Controller

La tabella seguente elenca i requisiti delle risorse Kubernetes per ogni versione supportata di Policy Controller. Le richieste di risorse per l'operatore ConfigManagement si applicano solo se hai installato il controller dei criteri tramite l'oggetto ConfigManagement.

Componente	CPU	Memoria
Operatore ConfigManagement	100 m	160 km
Policy Controller	100 m	256 km

Passaggi successivi

• Scopri di più su Policy Controller.
• Scopri di più sui pacchetti di Policy Controller.
• Scopri come creare una limitazione.
• Risolvi i problemi di Policy Controller.