Utilizza i vincoli delle norme relative a costi e affidabilità

Policy Controller include una libreria predefinita di modelli di vincolo che possono essere utilizzati con il pacchetto relativo ai criteri di costo e affidabilità, che consente di adottare le best practice per l'esecuzione di cluster GKE a basso costo senza compromettere le prestazioni o l'affidabilità dei carichi di lavoro.

Vincoli relativi al pacchetto di criteri per costo e affidabilità

Nome vincolo	Descrizione vincolo
cost-reliability-v2023-pod-disruption-budget	Richiede la configurazione PodDisruptionBudget per Deployment, ReplicaSet, StatefulSet e ReplicationController.
cost-reliability-v2023-pod-resources-best-practices	Richiede che i container impostino richieste di risorse e seguano le best practice.
cost-reliability-v2023-required-labels	Richiede che tutti i pod e controller (ReplicaSet, Deployment, StatefulSet e DaemonSet) abbiano le etichette richieste: ambiente, team e app.
cost-reliability-v2023-restrict-repos	Limita le immagini container a un elenco di repository consentito per utilizzare Artifact Registry al fine di sfruttare il flusso di immagini.
cost-reliability-v2023-spotvm-termination-grace	Richiede terminazioniGracePeriodSecond per pod e modelli di pod con un valore nodeSelector o nodeAfffinty per gke-spot.

Prima di iniziare

1. Installa e inizializza Google Cloud CLI, che fornisce i comandi gcloud e kubectl utilizzati in queste istruzioni. Se utilizzi Cloud Shell, Google Cloud CLI è preinstallato.
2. Installa Policy Controller v1.15.3 o versioni successive sul cluster con la libreria predefinita di modelli di vincolo. Devi inoltre abilitare il supporto per i vincoli referenziali dal momento che questo bundle contiene vincoli di riferimento.

Configurare Policy Controller per i vincoli referenziali

Avviso :puoi sovrascrivere le modifiche. Se hai già un elemento Config nello spazio dei nomi gatekeeper-system, devi includere tutte le impostazioni di personalizzazione precedenti per conservare le modifiche.

1. Salva il seguente manifest YAML in un file come policycontroller-config.yaml. Il file manifest configura Policy Controller in modo che esamini tipi di oggetti specifici.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: ""
           version: "v1"
           kind: "Service"
         - group: "policy"
           version: "v1"
           kind: "PodDisruptionBudget"
   

2. Applica il file manifest policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Configura il cluster e il carico di lavoro

1. Qualsiasi pod selezionato da un service deve includere un probe di idoneità.
2. Tutti gli elementi deployment, replicaset, statefulset e replicationcontroller devono includere un elemento poddisruptionbudget.
3. Tutti i container devono includere richieste cpu e memory e un limite memory uguale a richieste memory seguendo le best practice.
4. Aggiungi le etichette environment, team e app a tutti i pod e ai relativi modelli.
5. Ospita le immagini container utilizzando Artifact Registry nella stessa regione del cluster per abilitare il flusso di immagini. Consenti ad Artifact Registry pertinente seguendo l'esempio in cost-reliability-v2023-restrict-repos.
6. Tutti i pod e i modelli di pod che utilizzano gke-spot devono includere un elemento terminationGracePeriodSeconds di 15 secondi o meno.

Pacchetto di criteri di verifica dei costi e dell'affidabilità

Policy Controller consente di applicare i criteri per il cluster Kubernetes. Per testare i carichi di lavoro e la loro conformità in relazione ai criteri relativi a costi e affidabilità descritti nella tabella precedente, puoi eseguire il deployment di questi vincoli in modalità di "controllo" per individuare violazioni e, soprattutto, darti la possibilità di correggerle prima di applicarle al cluster Kubernetes.

Puoi applicare questi criteri con spec.enforcementAction impostato su dryrun utilizzando kubectl, kpt o Config Sync.

kubectl

1. (Facoltativo) Visualizza l'anteprima dei vincoli dei criteri con kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

2. Applica i vincoli dei criteri con kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

   L'output è il seguente:

   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
   

3. Verifica che i vincoli dei criteri siano stati installati e controlla se esistono violazioni nel cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

   L'output è simile al seguente:

   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0
   

kpt

1. Installa e configura kpt.

   kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.

2. Scarica il pacchetto di criteri PCI-DSS v3.2.1 da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

3. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su dryrun:

   kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inizializza la directory di lavoro con kpt, in modo da creare una risorsa per tenere traccia delle modifiche:

   cd cost-reliability-v2023 kpt live init
   

5. Applica i vincoli dei criteri con kpt:

   kpt live apply
   

6. Verifica che i vincoli dei criteri siano stati installati e controlla se esistono violazioni nel cluster:

   kpt live status --output table --poll-until current
   

   Lo stato CURRENT conferma la riuscita dell'installazione dei vincoli.

Config Sync

1. Installa e configura kpt.

   kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.

   Gli operatori che utilizzano Config Sync per eseguire il deployment dei criteri nei cluster possono utilizzare le seguenti istruzioni:

2. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

   Nota: Kpt v1.0.0-beta.17 e versioni successive creano automaticamente un file resourcegroup.yaml durante live init che non deve essere archiviato nel repository Config Sync. Se non è già presente, aggiungi resourcegroup.yaml al file .gitignore del repository.

   Per creare o aggiungere .gitignore con resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Crea una directory policies dedicata:

   mkdir -p policies
   

4. Scarica il pacchetto di criteri per i costi e l'affidabilità da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
   

5. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su dryrun:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Facoltativo) Visualizza l'anteprima dei vincoli dei criteri da creare:

   kpt live init policies/cost-reliability-v2023
   kpt live apply --dry-run policies/cost-reliability-v2023
   

7. Se la directory di sincronizzazione per Config Sync utilizza Kustomize, aggiungi policies/cost-reliability-v2023 alla directory principale kustomization.yaml. In caso contrario, rimuovi il file policies/cost-reliability-v2023/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
   

8. Esegui il push delle modifiche al repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
   git push
   

9. Verifica lo stato dell'installazione:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Lo stato SYNCED conferma l'installazione dei criteri.

Visualizza le violazioni delle norme

Una volta installati i vincoli dei criteri in modalità di controllo, le violazioni sul cluster possono essere visualizzate nell'interfaccia utente utilizzando la dashboard di Policy Controller.

Puoi anche usare kubectl per visualizzare le violazioni sul cluster utilizzando il seguente comando:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

In caso di violazioni, un elenco dei messaggi di violazione per vincolo può essere visualizzato con:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Modifica l'azione di applicazione del pacchetto delle norme relative a costi e affidabilità

Dopo aver esaminato le violazioni dei criteri nel cluster, puoi valutare la possibilità di modificare la modalità di applicazione forzata in modo che il controller di ammissione warn On o deny blocchi l'applicazione delle risorse non conformi al cluster.

Avviso: l'azione di applicazione deny deve essere utilizzata con cautela in quanto può potenzialmente bloccare le modifiche richieste, causando un'interruzione dei carichi di lavoro critici o del cluster. Ti consigliamo vivamente di utilizzare solo le azioni di applicazione warn o dryrun sui cluster con carichi di lavoro di produzione, durante il test di nuovi vincoli o l'esecuzione di migrazioni come l'upgrade delle piattaforme. Per maggiori informazioni sulle azioni di applicazione forzata, consulta Controllo tramite vincoli.

kubectl

1. Usa kubectl per impostare l'azione di applicazione dei criteri su warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifica che l'azione di applicazione dei vincoli dei criteri sia stata aggiornata:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

kpt

1. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Applica i vincoli dei criteri:

   kpt live apply
   

Config Sync

Gli operatori che utilizzano Config Sync per eseguire il deployment dei criteri nei cluster possono utilizzare le seguenti istruzioni:

1. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

2. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su warn:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Esegui il push delle modifiche al repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
   git push
   

4. Verifica lo stato dell'installazione:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Il repository visualizzato nella colonna SYNCED conferma l'installazione dei criteri.

Testa l'applicazione dei criteri

Crea una risorsa non conforme sul cluster utilizzando il seguente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

Il controller di ammissione deve generare un avviso che elenca le violazioni dei criteri violate da questa risorsa, come mostrato nell'esempio seguente:

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Rimuovi il pacchetto di criteri relativi a costo e affidabilità

Se necessario, il pacchetto di criteri per il costo e l'affidabilità può essere rimosso dal cluster.

kubectl

Utilizza kubectl per rimuovere i criteri:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
  

kpt

Rimuovi i criteri:

  kpt live destroy
  

Config Sync

Gli operatori che utilizzano Config Sync per eseguire il deployment dei criteri nei cluster possono utilizzare le seguenti istruzioni:

1. Esegui il push delle modifiche al repository Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Removing Cost and Reliability policies'
   git push
   

2. Verifica lo stato:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Il repository visualizzato nella colonna SYNCED conferma la rimozione delle norme.