Gatekeeper Kubernetes

Définition

OPA Gatekeeper est un Admission Controller Kubernetes open source implémentant les politiques de sécurité sous forme de code avec le langage Rego d'Open Policy Agent (OPA). Gatekeeper permet de définir et d'enforcer des contraintes de sécurité et de gouvernance sur les ressources Kubernetes : imposer des limites de ressources, interdire les conteneurs privilegiés, exiger des labels de conformité, ou valider les formats des noms de ressources. Gatekeeper s'installe dans le cluster Kubernetes et enregistre des MutatingWebhookConfiguration et ValidatingWebhookConfiguration auprès du kube-apiserver. Toute création ou modification de ressource Kubernetes est transmise à Gatekeeper avant d'être persistée dans etcd. Gatekeeper évalue la ressource contre les Constraints actives et retourne ALLOWED ou DENIED avec un message explicatif. L'architecture Gatekeeper utilise deux types de ressources custom. Les ConstraintTemplates définissent le schéma d'une classe de contrainte et les règles Rego qui l'implémentent. Les Constraints sont des instances d'un ConstraintTemplate avec des paramètres spécifiques et un scope (quelles ressources et namespaces sont soumis à cette contrainte). La bibliothèque Gatekeeper Policy Library (sur GitHub) fournit des centaines de ConstraintTemplates prêts à l'emploi pour les cas d'usage courants de sécurité Kubernetes. Les politiques Gatekeeper courantes en sécurité incluent : K8sRequiredLabels (imposer des labels de propriété et de classification sur les pods), K8sContainerLimits (imposer des resource limits sur tous les conteneurs), K8sBlockPrivilegedContainers (interdire privileged: true), K8sAllowedRepos (n'autoriser les images que depuis des registres approuvés), K8sRequiredProbes (imposer les health probes pour la disponibilité), et K8sBlockHostNamespace (interdire hostNetwork et hostPID). La fonction d'audit de Gatekeeper est particulièrement utile pour la conformité : en plus de bloquer les nouvelles ressources non conformes, Gatekeeper peut auditer les ressources existantes dans le cluster et rapporter les violations des Constraints actuelles, permettant d'avoir une vue de conformité sur l'existant sans perturber les workloads en production.