Usa restricciones de políticas de costo y confiabilidad

Policy Controller incluye una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete de políticas de costo y confiabilidad, que ayuda a adoptar prácticas recomendadas para ejecutar clústeres de GKE rentables sin comprometer el rendimiento ni la confiabilidad de sus cargas de trabajo.

Restricciones del paquete de políticas de costo y confiabilidad

Nombre de la restricción	Descripción de la restricción
cost-reliability-v2023-pod-disruption-budget	Requiere la configuración de PodDisruptionBudget para implementaciones, ReplicaSets, StatefulSets y ReplicationControllers.
cost-reliability-v2023-pod-resources-best-practices	Requiere que los contenedores establezcan solicitudes de recursos y sigan las prácticas recomendadas.
cost-reliability-v2023-required-labels	Requiere que todos los Pods y controladores (ReplicaSet, Deployment, StatefulSet y DaemonSet) tengan las etiquetas requeridas: entorno, equipo y app.
cost-reliability-v2023-restrict-repos	Restringe las imágenes de contenedor a una lista de repositorios permitida para usar Artifact Registry y aprovechar la transmisión de imágenes.
cost-reliability-v2023-spotvm-termination-grace	Requiere terminationGracePeriodSeconds de 15 s o menos para Pods y Plantillas de Pods con un nodeSelector o nodeAfffinty para gke-spot.

Antes de comenzar

1. Instala e inicializa Google Cloud CLI, que proporciona los comandos gcloud, kubectl y que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalada.
2. Instala Policy Controller en tu clúster con la biblioteca predeterminada de plantillas de restricciones. También debes habilitar la compatibilidad con restricciones referenciales, ya que este paquete contiene restricciones referenciales.

Configura Policy Controller para restricciones referenciales

Advertencia: Puedes reemplazar tus propios cambios. Si ya tienes un Config en el espacio de nombres gatekeeper-system, debes incluir todas las opciones de configuración de personalización anteriores para preservar tus cambios.

1. Guarda el siguiente manifiesto YAML en un archivo como policycontroller-config.yaml. El manifiesto configura Policy Controller para que supervise tipos específicos de objetos.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: ""
           version: "v1"
           kind: "Service"
         - group: "policy"
           version: "v1"
           kind: "PodDisruptionBudget"
   

2. Aplica el manifiesto policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Configura tu clúster y tu carga de trabajo

1. Cualquier pod seleccionado por un service debe incluir una prueba de preparación.
2. Todos los deployment, replicaset, statefulset y replicationcontroller deben incluir un poddisruptionbudget.
3. Todos los contenedores deben incluir solicitudes de cpu y memory, y un límite de memory igual a las solicitudes de memory según las prácticas recomendadas.
4. Agrega etiquetas environment, team y app a todos los Pods y Plantillas de Pod.
5. Aloja imágenes de contenedor con Artifact Registry en la misma región que tu clúster para habilitar la transmisión de imágenes. Para permitir el Artifact Registry relevante, sigue el ejemplo en cost-reliability-v2023-restrict-repos.
6. Todos los Pods y las Plantillas de Pods que usan gke-spot deben incluir un terminationGracePeriodSeconds de 15 segundos o menos.

Audita el paquete de políticas de costo y confiabilidad

Policy Controller te permite aplicar políticas a tu clúster de Kubernetes. Para ayudar a probar tus cargas de trabajo y su cumplimiento con respecto a las políticas de costo y confiabilidad que se describen en la tabla anterior, puedes implementar estas restricciones en modo de "auditoría" para revelar infracciones y, lo que es más importante, tener la oportunidad corregirlos antes de aplicarlos en tu clúster de Kubernetes.

Puedes aplicar estas políticas con spec.enforcementAction configurado en dryrun mediante kubectl, kpt o el Sincronizador de configuración.

kubectl

1. Obtén una vista previa de las restricciones de la política con kubectl (opcional):

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

2. Aplica las restricciones de políticas con kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

   Esta es la salida:

   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
   

3. Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

   El resultado es similar al siguiente:

   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0
   

kpt

1. Instala y configura kpt.

   En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.

2. Descarga el paquete de políticas de PCI-DSS v3.2.1 desde GitHub mediante kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

3. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:

   kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:

   cd cost-reliability-v2023 kpt live init
   

5. Aplica las restricciones de políticas con kpt:

   kpt live apply
   

6. Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:

   kpt live status --output table --poll-until current
   

   Un estado CURRENT confirma que la instalación de las restricciones se realizó de forma correcta.

Sincronizador de configuración

1. Instala y configura kpt.

   En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.

   Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

2. Cambia al directorio del Sincronizador de configuración:

   cd SYNC_ROOT_DIR
   

   Nota: Kpt v1.0.0-beta.17 y las versiones posteriores crean automáticamente un archivo resourcegroup.yaml durante live init que debe no se registrarán en el repositorio del Sincronizador de configuración. Si aún no está presente, agrega resourcegroup.yaml al archivo .gitignore del repositorio.

   Para crear o agregar .gitignore con resourcegroup.yaml, haz lo siguiente:

   echo resourcegroup.yaml >> .gitignore
   

3. Crea un directorio policies dedicado:

   mkdir -p policies
   

4. Descarga el paquete de políticas de costo y confiabilidad desde GitHub mediante kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
   

5. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Opcional) Obtén una vista previa de las restricciones de la política que se crearán:

   kpt live init policies/cost-reliability-v2023
   kpt live apply --dry-run policies/cost-reliability-v2023
   

7. Si tu directorio de sincronización para el Sincronizador de configuración usa Kustomize, agrega policies/cost-reliability-v2023 a tu kustomization.yaml raíz. De lo contrario, quita el archivo policies/cost-reliability-v2023/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
   

8. Envía los cambios al repositorio del Sincronizador de configuración:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
   git push
   

9. Verifica el estado de la instalación:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Un estado de SYNCED confirma la instalación de las políticas.

Visualiza incumplimientos de políticas

Una vez que las restricciones de la política se instalan en modo de auditoría, los incumplimientos en el clúster se pueden ver en la IU mediante el panel de Policy Controller.

También puedes usar kubectl para ver los incumplimientos en el clúster mediante el siguiente comando:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con lo siguiente:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Cambia la acción de aplicación del paquete de políticas de costo y confiabilidad

Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes considerar cambiar el modo de aplicación para que el controlador de admisión warn o incluso deny bloquee los recursos que no cumplen con las políticas para que no se apliquen a lo siguiente: el clúster.

Advertencia: La acción de aplicación deny debe usarse con cuidado, ya que puede bloquear cambios obligatorios en la interrupción de cargas de trabajo críticas o el clúster. Se recomienda que solo las acciones de aplicación warn o dryrun se usen en clústeres con cargas de trabajo de producción, cuando se prueben restricciones nuevas o se realicen migraciones, como plataformas de actualización. Para obtener más información sobre las acciones de aplicación, consulta Audita mediante restricciones.

kubectl

1. Usa kubectl para establecer la acción de aplicación de las políticas en warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifica que se haya actualizado la acción de aplicación de restricciones de políticas:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

kpt

1. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Aplica las restricciones de la política:

   kpt live apply
   

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

1. Cambia al directorio del Sincronizador de configuración:

   cd SYNC_ROOT_DIR
   

2. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Envía los cambios al repositorio del Sincronizador de configuración:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
   git push
   

4. Verifica el estado de la instalación:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   El repositorio que aparece en la columna SYNCED confirma la instalación de las políticas.

Aplicación de la política de prueba

Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

El controlador de admisión debería producir una advertencia que enumere las infracciones de políticas que este recurso infringe, como se muestra en el siguiente ejemplo:

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Quita el paquete de políticas de costo y confiabilidad

Si es necesario, el paquete de políticas de costo y confiabilidad se puede quitar del clúster.

kubectl

Usa kubectl para quitar las políticas:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
  

kpt

Quita las políticas:

  kpt live destroy
  

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

1. Envía los cambios al repositorio del Sincronizador de configuración:

   git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Removing Cost and Reliability policies'
   git push
   

2. Verifica el estado:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   El repositorio que aparece en la columna SYNCED confirma la eliminación de las políticas.