Pengontrol Kebijakan dilengkapi library default berisi template batasan yang dapat digunakan bersama paket Kebijakan Biaya dan Keandalan yang membantu mengadopsi praktik terbaik untuk menjalankan cluster GKE yang hemat biaya tanpa mengorbankan performa atau keandalan workload-nya.
Batasan paket kebijakan Biaya dan Keandalan
Nama Batasan | Deskripsi Batasan |
---|---|
cost-reliability-v2023-pod-disruption-budget | Memerlukan konfigurasi PodDisruptionBudget untuk Deployment, ReplicaSets, StatefulSets, dan ReplicationControllers. |
cost-reliability-v2023-pod-resources-best-practices | Mengharuskan container menetapkan permintaan resource dan mengikuti praktik terbaik. |
cost-reliability-v2023-required-labels | Semua Pod dan Pengontrol (ReplicaSet, Deployment, StatefulSet, dan DaemonSet) harus memiliki label yang diperlukan: lingkungan, tim, dan aplikasi. |
cost-reliability-v2023-restrict-repos | Membatasi image container ke daftar repositori yang diizinkan agar Artifact Registry dapat memanfaatkan Streaming image. |
cost-reliability-v2023-spotvm-termination-grace | Membutuhkan penghentianGracePeriodSeconds 15 detik atau kurang untuk Pod dan Template Pod dengan nodeSelector atau nodeAfffinty untuk gke-spot. |
Sebelum memulai
- Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya. - Instal Pengontrol Kebijakan di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensi karena paket ini berisi batasan referensial.
Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial
Simpan manifes YAML berikut ke file sebagai
policycontroller-config.yaml
. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "" version: "v1" kind: "Service" - group: "policy" version: "v1" kind: "PodDisruptionBudget"
Terapkan manifes
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Mengonfigurasi cluster dan beban kerja Anda
- Setiap
pod
yang dipilih olehservice
harus menyertakan Probe Kesiapan. - Semua
deployment
,replicaset
,statefulset
, danreplicationcontroller
harus menyertakanpoddisruptionbudget
. - Semua penampung harus mencakup permintaan
cpu
danmemory
, serta batasmemory
yang sama dengan permintaanmemory
yang mengikuti praktik terbaik. - Tambahkan label
environment
,team
, danapp
ke semua Pod dan Template Pod. - Hosting image container menggunakan Artifact Registry di region yang sama dengan cluster Anda untuk mengaktifkan Streaming image.
Izinkan Artifact Registry yang relevan dengan mengikuti contoh di
cost-reliability-v2023-restrict-repos
. - Semua Pod dan Template Pod yang menggunakan
gke-spot
harus menyertakanterminationGracePeriodSeconds
berdurasi 15 detik atau kurang.
Paket kebijakan Biaya dan Keandalan Audit
Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload Anda dan kepatuhannya terhadap kebijakan Biaya dan Keandalan yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkap pelanggaran dan yang lebih penting, memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya ke cluster Kubernetes Anda.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang disetel ke dryrun
menggunakan
kubectl,
kpt
, atau
Config Sync
.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Output-nya adalah sebagai berikut:
gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels dryrun 0
kpt
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Unduh paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
cd cost-reliability-v2023 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi penginstalan batasan yang berhasil.
Config Sync
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan Biaya dan Keandalan dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/cost-reliability-v2023 kpt live apply --dry-run policies/cost-reliability-v2023
Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan
policies/cost-reliability-v2023
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/cost-reliability-v2023/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.
Anda juga dapat menggunakan kubectl
untuk melihat pelanggaran di cluster menggunakan perintah berikut:
kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Ubah tindakan penerapan paket kebijakan Biaya dan Keandalan
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn
aktif
atau bahkan deny
memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke
warn
:kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penerapan batasan kebijakan telah diperbarui:
kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
kpt
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy bundle warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penginstalan kebijakan.
Menguji penegakan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
hostPort: 80
name: wordpress
EOF
Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request. Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request. Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`. Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created
Hapus paket kebijakan Biaya dan Keandalan
Jika diperlukan, paket kebijakan Biaya dan Keandalan dapat dihapus dari cluster.
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Kirim perubahan ke repo Config Sync:
git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Removing Cost and Reliability policies' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penghapusan kebijakan.