Usa las restricciones de la política de costo y confiabilidad
El controlador de políticas viene con una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete de políticas de costo y confiabilidad, que ayuda a adoptar prácticas recomendadas para ejecutar clústeres de GKE rentables sin comprometer el rendimiento o la confiabilidad de sus cargas de trabajo.
Restricciones del paquete de políticas de costo y confiabilidad
Nombre de la restricción | Descripción de la restricción |
---|---|
cost-reliability-v2023-pod-disruption-budget | Requiere la configuración de PodDisruptionBudget para Deployments, ReplicaSets, StatefulSets y ReplicationControllers. |
cost-reliability-v2023-pod-resources-best-practices | Requiere que los contenedores configuren solicitudes de recursos y sigan las prácticas recomendadas. |
cost-reliability-v2023-required-labels | Requiere que todos los Pods y controladores (ReplicaSet, Deployment, StatefulSet y DaemonSet) tengan las etiquetas requeridas: entorno, equipo y app. |
cost-reliability-v2023-restrict-repos | Restringe las imágenes de contenedor a una lista de repositorios permitidos para usar Artifact Registry y aprovechar la transmisión de imágenes. |
cost-reliability-v2023-spotvm-termination-grace | Requiere finishGracePeriodSeconds de 15 s o menos para Pods y plantillas de Pods con un nodeSelector o nodeAfffinty para gke-spot. |
Antes de comenzar
- Instala e inicializa Google Cloud CLI, que proporciona los comandos
gcloud
ykubectl
que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalado. - Instala el controlador de políticas en tu clúster con la biblioteca predeterminada de plantillas de restricción. También debes habilitar la compatibilidad con las restricciones referenciales, ya que este paquete contiene restricciones referenciales.
Configura el controlador de políticas para restricciones referenciales
Guarda el siguiente manifiesto YAML en un archivo como
policycontroller-config.yaml
. El manifiesto configura Policy Controller para observar tipos específicos de objetos.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "" version: "v1" kind: "Service" - group: "policy" version: "v1" kind: "PodDisruptionBudget"
Aplica el manifiesto
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Configura el clúster y la carga de trabajo
- Cualquier
pod
seleccionado por unservice
debe incluir Sondeos de preparación. - Todos los elementos
deployment
,replicaset
,statefulset
yreplicationcontroller
deben incluir unpoddisruptionbudget
. - Todos los contenedores deben incluir solicitudes
cpu
ymemory
, y un límite dememory
igual amemory
solicitudes según las prácticas recomendadas. - Agrega etiquetas
environment
,team
yapp
a todos los Pods y las plantillas de Pods. - Aloja imágenes de contenedor con Artifact Registry en la misma región que el clúster para habilitar la transmisión de imágenes.
Sigue los pasos del ejemplo en
cost-reliability-v2023-restrict-repos
para permitir el Artifact Registry relevante. - Todos los Pods y las plantillas de Pods que usan
gke-spot
deben incluir unterminationGracePeriodSeconds
de 15 segundos o menos.
Paquete de políticas de auditoría de costos y confiabilidad
El Controlador de políticas te permite aplicar políticas a tu clúster de Kubernetes. Para probar las cargas de trabajo y su cumplimiento con respecto a las políticas de costo y confiabilidad descritas en la tabla anterior, puedes implementar estas restricciones en modo de “auditoría” para revelar incumplimientos y, lo que es más importante, darte la oportunidad de corregirlos antes de aplicarlas en tu clúster de Kubernetes.
Puedes aplicar estas políticas con spec.enforcementAction
configurado como dryrun
mediante kubectl, kpt o el Sincronizador de configuración.
kubectl
Obtén una vista previa de las restricciones de la política con kubectl (opcional):
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Aplica las restricciones de la política con kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Esta es la salida:
gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
El resultado es similar al siguiente:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels dryrun 0
kpt
Instala y configura kpt.
kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.
Descarga el paquete de políticas de PCI-DSS v3.2.1 de GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:
cd cost-reliability-v2023 kpt live init
Aplica las restricciones de políticas con kpt:
kpt live apply
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kpt live status --output table --poll-until current
Un estado de
CURRENT
confirma la instalación correcta de las restricciones.
Sincronizador de configuración
Instala y configura kpt.
kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Para crear o adjuntar
.gitignore
conresourcegroup.yaml
, haz lo siguiente:echo resourcegroup.yaml >> .gitignore
Crea un directorio
policies
dedicado:mkdir -p policies
Descarga el paquete de políticas de costo y confiabilidad desde GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opcional) Obtén una vista previa de las restricciones de la política que se crearán:
kpt live init policies/cost-reliability-v2023 kpt live apply --dry-run policies/cost-reliability-v2023
Si el directorio de sincronización del Sincronizador de configuración usa Kustomize, agrega
policies/cost-reliability-v2023
a la raízkustomization.yaml
. De lo contrario, quita el archivopolicies/cost-reliability-v2023/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
Envía los cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement' git push
Verifica el estado de la instalación:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Un estado de
SYNCED
confirma la instalación de las políticas.
Visualiza incumplimientos de políticas
Una vez que las restricciones de la política se instalan en el modo de auditoría, los incumplimientos del clúster se pueden ver en la IU mediante el Panel del controlador de políticas.
También puedes usar kubectl
para ver los incumplimientos en el clúster con el siguiente comando:
kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con los siguientes elementos:
kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Cambia la acción de aplicación del paquete de políticas de costo y confiabilidad
Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes considerar
cambiar el modo de aplicación para que el controlador de admisión warn
o incluso deny
bloquee los recursos que no cumplen con las políticas en el clúster.
kubectl
Usa kubectl para establecer la acción de aplicación de las políticas en
warn
:kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Verifica que se haya actualizado la acción de aplicación de restricciones de la política:
kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
kpt
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas enwarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Aplica las restricciones de la política:
kpt live apply
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas enwarn
:kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Envía los cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy bundle warn enforcement' git push
Verifica el estado de la instalación:
gcloud alpha anthos config sync repo list --project PROJECT_ID
El repositorio que aparece en la columna
SYNCED
confirma la instalación de las políticas.
Aplicación de la política de prueba
Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
hostPort: 80
name: wordpress
EOF
El controlador de admisión debe producir una advertencia en la que se mencionen los incumplimientos de políticas que infringe este recurso, como se muestra en el siguiente ejemplo:
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request. Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request. Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`. Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created
Quitar el paquete de políticas de costo y confiabilidad
Si es necesario, el paquete de políticas de costo y confiabilidad se puede quitar del clúster.
kubectl
Usa kubectl para quitar las políticas:
kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
kpt
Quita las políticas:
kpt live destroy
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Envía los cambios al repositorio del Sincronizador de configuración:
git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Removing Cost and Reliability policies' git push
Verifica el estado:
gcloud alpha anthos config sync repo list --project PROJECT_ID
El repositorio que aparece en la columna
SYNCED
confirma la eliminación de las políticas.