4. 開放策略代理與GateKeeper
時間:2022-04-13 17:18:01 | 來源:行業(yè)動態(tài)
時間:2022-04-13 17:18:01 來源:行業(yè)動態(tài)
過去幾年以來,策略管理成為Kubernetes安全領(lǐng)域中的一大關(guān)注焦點(diǎn)。開放策略代理(OPA)提供一種新型策略語言Rego,能夠?qū)⒒A(chǔ)設(shè)施堆棧及API中的各個層抽象出來??偨Y(jié)來講,OPA意在簡化安全策略,進(jìn)而消除因復(fù)雜性而引發(fā)的安全漏洞。
OPA GateKeeper則是一種將OPA集成至Kubernetes當(dāng)中的原生方式。它使用由Kubernetes定制化資源定義(CRD)構(gòu)建的OPA約束框架進(jìn)行策略的描述與實(shí)施。在3.0版本中,GateKeeper與OPA約束框架相集成,能夠強(qiáng)制執(zhí)行基于Kubernetes CRD的策略,并允許用戶可靠地共享以聲明方式配置完成的各項(xiàng)策略。
如此一來,我們就能為Rego策略創(chuàng)建策略模板、將策略創(chuàng)建為CRD形式并在策略CRD上存儲審計(jì)結(jié)果。順帶一提,OPA GateKeeper屬于谷歌、微軟、Red Hat以及Styra共同參與的合作項(xiàng)目。
其下還包含多個子項(xiàng)目,例如用于策略共享的Rego Playground、用于策略創(chuàng)建的VS Code,以及用于最終控制的CLI和REPL等。