Utilizza i vincoli dei criteri di costi e affidabilità

Policy Controller include una libreria predefinita di modelli di vincolo che possono essere utilizzati con il pacchetto Criterio costi e affidabilità che aiuta ad adottare le best practice per l'esecuzione di GKE a basso costo senza compromettere le prestazioni o l'affidabilità dei carichi di lavoro.

Questa pagina contiene le istruzioni per applicare manualmente un bundle di norme. In alternativa, puoi applicare direttamente i pacchetti di criteri.

Avviso: Dopo aver scelto un metodo per applicare i pacchetti di criteri (manualmente, gcloud CLI o la console Google Cloud), utilizzando un metodo diverso i pacchetti di criteri di installazione possono causare errori nel tuo ambiente.

Vincoli del pacchetto di criteri di costo e affidabilità

Nome vincolo	Descrizione del vincolo
cost-reliability-v2023-pod-disruption-budget	Richiede la configurazione di PodDisruptionBudget per deployment, ReplicaSet, StatefulSet e ReplicationControllers.
cost-reliability-v2023-pod-resources-best-practices	Richiede che i container impostino richieste di risorse e seguano le best practice.
cost-reliability-v2023-required-labels	Richiede che tutti i pod e i controller (ReplicaSet, Deployment, StatefulSet e DaemonSet) abbiano le etichette richieste: ambiente, team e app.
cost-reliability-v2023-restrict-repos	Limita le immagini container a un elenco di repository consentiti per utilizzare Artifact Registry e sfruttare il flusso di immagini.
cost-reliability-v2023-spotvm-termination-grace	Richiede terminaGracePeriodSeconds di massimo 15 secondi per i pod e i modelli di pod con un nodeSelector o nodeAfffinty per gke-spot.

Prima di iniziare

1. Installa e inizializza Google Cloud CLI, che fornisce i comandi gcloud e kubectl utilizzati in queste istruzioni. Se utilizzi Cloud Shell, Google Cloud CLI fornisce sono preinstallate.
2. Installa Policy Controller sul tuo cluster con la libreria predefinita modelli di machine learning. Devi anche attivare il supporto per i vincoli di referenza poiché questo pacchetto contiene vincoli di referenza.

Configura Policy Controller per i vincoli di referenza

Avviso: puoi sovrascrivere le modifiche. Se hai già un Config esistente nello spazio dei nomi gatekeeper-system, devi includere tutte le impostazioni di personalizzazione precedenti per conservare le modifiche.

1. Salva il seguente manifest YAML in un file come policycontroller-config.yaml. Il manifest configura Policy Controller per il controllo di tipi specifici di oggetti.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: ""
           version: "v1"
           kind: "Service"
         - group: "policy"
           version: "v1"
           kind: "PodDisruptionBudget"
   

2. Applica il manifest policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Configura il cluster e il carico di lavoro

1. Qualsiasi pod selezionato da un service deve includere probe di idoneità.
2. Tutti i valori deployment, replicaset, statefulset e replicationcontroller devono includere un poddisruptionbudget.
3. Tutti i contenitori devono includere richieste cpu e memory e un limite memory uguale alle richieste memory seguendo le best practice.
4. Aggiungi le etichette environment, team e app a tutti i pod e i modelli di pod.
5. Ospita le immagini container utilizzando Artifact Registry nello stesso region come cluster per abilitare Streaming di immagini. Consenti Artifact Registry pertinente seguendo l'esempio in cost-reliability-v2023-restrict-repos.
6. Tutti i pod e i modelli di pod che utilizzano gke-spot devono includere un terminationGracePeriodSeconds di massimo 15 secondi.

Controllo del pacchetto dei criteri di costi e affidabilità

Policy Controller consente di applicare i criteri per il cluster Kubernetes. Per aiutarti a verificare i tuoi carichi di lavoro e la loro conformità ai criteri relativi a costi e affidabilità descritti nella tabella precedente, puoi implementare questi vincoli in modalità di "controllo" per rilevare le violazioni e, soprattutto, darti la possibilità di correggerle prima di applicarle al tuo cluster Kubernetes.

Puoi applicare questi criteri con l'impostazione spec.enforcementAction impostata su dryrun utilizzando kubectl, kpt o Sincronizzazione configurazione di Google.

kubectl

1. (Facoltativo) Visualizza l'anteprima dei vincoli dei criteri con kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

2. Applica i vincoli dei criteri con kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

   L'output è il seguente:

   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
   

3. Verifica che i vincoli dei criteri siano stati installati e controlla se esistono violazioni nel cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

   L'output è simile al seguente:

   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0
   

kpt

1. Installa e configura kpt.

   In queste istruzioni, kpt viene utilizzato per personalizzare ed eseguire il deployment delle risorse Kubernetes.

2. Scarica il bundle di criteri PCI-DSS v3.2.1 da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

3. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su dryrun:

   kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inizializza la directory di lavoro con kpt, che crea una risorsa per monitorare le modifiche:

   cd cost-reliability-v2023 kpt live init
   

5. Applica i vincoli dei criteri con kpt:

   kpt live apply
   

6. Verifica che i vincoli dei criteri siano stati installati e controlla se esistono violazioni nel cluster:

   kpt live status --output table --poll-until current
   

   Lo stato CURRENT conferma l'avvenuta installazione dei vincoli.

Config Sync

1. Installa e configura kpt.

   In queste istruzioni, kpt viene utilizzato per personalizzare ed eseguire il deployment delle risorse Kubernetes.

   Gli operatori che utilizzano Config Sync per eseguire il deployment dei criteri nei loro cluster possono utilizzare le seguenti istruzioni:

2. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

   Nota: Kpt v1.0.0-beta.17 e versioni successive crea automaticamente una File resourcegroup.yaml durante live init che non deve essere controllato nel repository di Config Sync. Se non è già presente, aggiungi resourcegroup.yaml al file .gitignore del tuo repo.

   Per creare o aggiungere .gitignore a resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Crea una directory policies dedicata:

   mkdir -p policies
   

4. Scarica il bundle dei criteri relativi a costi e affidabilità da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
   

5. Esegui l' set-enforcement-action kpt per impostare i criteri provvedimento in merito a dryrun:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Facoltativo) Visualizza l'anteprima dei vincoli dei criteri da creare:

   kpt live init policies/cost-reliability-v2023
   kpt live apply --dry-run policies/cost-reliability-v2023
   

7. Se la directory di sincronizzazione per Config Sync utilizza Kustomize aggiungi policies/cost-reliability-v2023 al tuo kustomization.yaml principale. In caso contrario, rimuovi il file policies/cost-reliability-v2023/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
   

8. Esegui push delle modifiche nel repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
   git push
   

9. Verifica lo stato dell'installazione:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Lo stato SYNCED conferma l'installazione dei criteri.

Visualizza le violazioni delle norme

Una volta installati i vincoli dei criteri in modalità di controllo, le violazioni nel cluster possono essere visualizzate nell'interfaccia utente utilizzando la dashboard di Policy Controller.

Puoi anche utilizzare kubectl per visualizzare le violazioni nel cluster utilizzando quanto segue :

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Se sono presenti violazioni, un elenco dei messaggi di violazione per vincolo possono essere visualizzati con:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Modificare l'azione di applicazione del pacchetto di norme relative a costo e affidabilità

Dopo aver esaminato le violazioni delle norme nel cluster, puoi valutare la possibilità di cambiare la modalità di applicazione in modo che il controller di ammissione warn attivi o addirittura deny blocchi l'applicazione della risorsa non conforme al cluster.

Avviso: l'azione di applicazione deny deve essere utilizzata con cautela in quanto può potenzialmente bloccare le modifiche richieste con conseguente interruzione dei carichi di lavoro critici o del cluster. Ti consigliamo vivamente di utilizzare solo le azioni di applicazione warn o dryrun nei cluster con carichi di lavoro di produzione, quando testi nuovi vincoli o esegui migrazioni come l'upgrade delle piattaforme. Per ulteriori informazioni sulle azioni di applicazione, consulta Controllo con vincoli.

kubectl

1. Utilizza kubectl per impostare l'azione di applicazione dei criteri su warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifica che l'azione di applicazione dei vincoli dei criteri sia stata aggiornata:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

kpt

1. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Applica i vincoli dei criteri:

   kpt live apply
   

Config Sync

Gli operatori che utilizzano Config Sync per il deployment dei criteri nei propri cluster possono utilizzare segui queste istruzioni:

1. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

2. Esegui la funzione kpt set-enforcement-action per impostare l'azione di applicazione dei criteri su warn:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Esegui push delle modifiche nel repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
   git push
   

4. Verifica lo stato dell'installazione:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   La visualizzazione del tuo repo nella colonna SYNCED conferma l'installazione dei criteri.

Testa l'applicazione dei criteri

Crea una risorsa non conforme nel cluster utilizzando il seguente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

Il controller di ammissione dovrebbe mostrare un avviso che elenca il criterio violazioni violate da questa risorsa, come mostrato nell'esempio seguente:

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Rimuovi il pacchetto dei criteri di costi e affidabilità

Se necessario, il pacchetto dei criteri relativi a costi e affidabilità può essere rimosso in un cluster Kubernetes.

kubectl

Utilizza kubectl per rimuovere i criteri:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
  

kpt

Rimuovi i criteri:

  kpt live destroy
  

Config Sync

Gli operatori che utilizzano Config Sync per eseguire il deployment dei criteri nei loro cluster possono utilizzare le seguenti istruzioni:

1. Esegui il push delle modifiche al repository di Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Removing Cost and Reliability policies'
   git push
   

2. Verifica lo stato:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   La visualizzazione del tuo repo nella colonna SYNCED conferma la rimozione dei criteri.