Menggunakan batasan kebijakan Biaya dan Keandalan

Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan dengan paket Kebijakan Biaya dan Keandalan yang membantu menerapkan praktik terbaik untuk menjalankan GKE yang hemat biaya cluster tanpa mengorbankan performa atau keandalan workload.

Batasan paket kebijakan Biaya dan Keandalan

Nama Batasan	Deskripsi Batasan
cost-reliability-v2023-pod-disruption-budget	Memerlukan konfigurasi PodDisruptionBudget untuk Deployment, ReplicaSets, StatefulSets, dan ReplicationControllers.
cost-reliability-v2023-pod-resources-best-practices	Mengharuskan container menetapkan permintaan resource dan mengikuti praktik terbaik.
cost-reliability-v2023-required-labels	Mewajibkan semua Pod dan Pengontrol (ReplicaSet, Deployment, StatefulSet, dan DaemonSet) memiliki label yang diperlukan: lingkungan, tim, dan aplikasi.
cost-reliability-v2023-restrict-repos	Membatasi image container ke daftar repositori yang diizinkan untuk menggunakan Artifact Registry guna memanfaatkan Streaming image.
cost-reliability-v2023-spotvm-termination-grace	Memerlukan penghentianGracePeriodSeconds selama 15 detik atau kurang untuk Pod dan Template Pod dengan nodeSelector atau nodeAfffinty untuk gke-spot.

Sebelum memulai

1. Menginstal dan melakukan inisialisasi Google Cloud CLI , yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk. Jika Anda menggunakan Cloud Shell, Google Cloud CLI yang sudah diinstal sebelumnya.
2. Menginstal Pengontrol Kebijakan di cluster Anda dengan library default batasan template. Anda juga harus mengaktifkan dukungan untuk referensial batasan karena paket ini berisi batasan referensial.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial

Peringatan: Anda dapat menimpa perubahan. Jika Anda sudah memiliki Config dalam namespace gatekeeper-system, Anda harus menyertakan semua elemen sebelumnya setelan penyesuaian untuk mempertahankan perubahan Anda.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: ""
           version: "v1"
           kind: "Service"
         - group: "policy"
           version: "v1"
           kind: "PodDisruptionBudget"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengonfigurasi cluster dan workload Anda

1. Setiap pod yang dipilih oleh service harus menyertakan Probe Kesiapan.
2. Semua deployment, replicaset, statefulset, dan replicationcontroller harus menyertakan poddisruptionbudget.
3. Semua penampung harus mencakup permintaan cpu dan memory, dan batas memory sama dengan untuk memory permintaan yang mengikuti praktik terbaik.
4. Tambahkan label environment, team, dan app ke semua Pod dan Template Pod.
5. Hosting image container menggunakan Artifact Registry di region sebagai cluster Anda untuk mengaktifkan Streaming gambar. Izinkan Artifact Registry yang relevan dengan mengikuti contoh di cost-reliability-v2023-restrict-repos.
6. Semua Pod dan Template Pod yang menggunakan gke-spot harus menyertakan terminationGracePeriodSeconds berdurasi 15 detik atau kurang.

Paket kebijakan Biaya dan Keandalan Audit

Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhan Anda sehubungan dengan Biaya dan Keandalan kebijakan yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan tersebut "audit" mode untuk mengungkapkan pelanggaran dan yang lebih penting lagi, beri diri Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang disetel ke dryrun menggunakan kubectl, kpt , atau Sinkronisasi Konfigurasi kami.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

   Outputnya adalah sebagai berikut:

   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0
   

kpt

1. Instal dan siapkan kpt.

   kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy Kubernetes Google Cloud Platform.

2. Download paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

3. Jalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Menginisialisasi direktori kerja dengan kpt, yang membuat resource untuk lacak perubahan:

   cd cost-reliability-v2023 kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi keberhasilan penginstalan batasan.

Config Sync

1. Instal dan siapkan kpt.

   kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy Kubernetes Google Cloud Platform.

   Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

2. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru secara otomatis membuat resourcegroup.yaml file selama live init yang tidak boleh diperiksa ke repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Buat direktori policies khusus:

   mkdir -p policies
   

4. Download paket kebijakan Biaya dan Keandalan dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
   

5. Jalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/cost-reliability-v2023
   kpt live apply --dry-run policies/cost-reliability-v2023
   

7. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Sesuaikan, tambahkan policies/cost-reliability-v2023 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/cost-reliability-v2023/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
   

8. Mengirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
   git push
   

9. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di dapat dilihat di UI menggunakan Pengontrol Kebijakan Dasbor.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan berikut:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Jika ditemukan pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Tindakan penegakan paket kebijakan Biaya dan Keandalan Ubah

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn aktif atau bahkan deny akan memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan yang mengakibatkan gangguan pada workload atau cluster tersebut. Sangat disarankan agar hanya warn atau Tindakan penegakan kebijakan dryrun digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi, seperti mengupgrade di berbagai platform Google. Untuk informasi selengkapnya tentang tindakan penegakan kebijakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan kebijakan' tindakan penegakan kebijakan untuk warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penegakan batasan kebijakan telah diperbarui:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

kpt

1. Jalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Mengirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan izin yang relevan.

Menguji penerapan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus memberikan peringatan yang mencantumkan kebijakan pelanggaran yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Menghapus paket kebijakan Biaya dan Keandalan

Jika diperlukan, paket kebijakan Biaya dan Keandalan dapat dihapus dari .

kubectl

Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
  

kpt

Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Mengirim perubahan ke repo Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Removing Cost and Reliability policies'
   git push
   

2. Verifikasi statusnya:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan tersebut.