Open Policy Agent Gatekeeper 安装与卸载指南

Open Policy Agent Gatekeeper 安装与卸载指南

前言

Open Policy Agent (OPA) Gatekeeper 是一个强大的 Kubernetes 准入控制器，用于执行自定义策略和约束。本文将详细介绍 Gatekeeper 的安装与卸载过程，帮助您在生产环境中快速部署这一关键组件。

系统要求

Kubernetes 版本要求

Gatekeeper 支持的最低 Kubernetes 版本与 Kubernetes 官方支持的版本策略保持一致。特别需要注意的是：

• 必须使用 Kubernetes v1.16 或更高版本
• 建议使用当前 Kubernetes 官方支持的最新稳定版本

权限要求

安装 Gatekeeper 需要集群管理员权限。执行以下命令获取必要权限：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法

1. 使用预构建镜像安装（推荐生产环境）

这是最简单的安装方式，适合大多数生产环境：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

此命令会：

1. 创建 gatekeeper-system 命名空间
2. 部署所有必要的 CRD
3. 启动 Gatekeeper 控制器

2. 使用开发镜像安装

如需使用最新开发版本，可以使用以下镜像标签：

• openpolicyagent/gatekeeper:dev - 最新开发版本
• openpolicyagent/gatekeeper:<SHA> - 特定提交版本

3. 从源码构建安装（适合开发环境）

如需自定义构建 Gatekeeper，可按照以下步骤操作：

1. 确保已安装 Docker 20.10 或更高版本
2. 设置 kubectl 上下文到目标集群
3. 准备可写入且目标集群可读取的容器仓库

构建和部署命令：

# 克隆仓库
git clone https://github.com/open-policy-agent/gatekeeper.git
cd gatekeeper

# 构建并推送镜像
export DESTINATION_GATEKEEPER_IMAGE=<您的仓库地址>
make docker-buildx REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE OUTPUT_TYPE=type=registry

# 部署
make deploy REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE

4. 使用 Helm 安装

Gatekeeper 提供了 Helm chart 支持：

# 添加 Helm 仓库
helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

# 安装
helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace

如需自定义配置，可修改 charts/gatekeeper/values.yaml 文件。

卸载方法

1. 预构建镜像卸载

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

2. make 方式卸载

cd gatekeeper
make uninstall

3. Helm 方式卸载

# 删除 Helm 部署
helm delete gatekeeper --namespace gatekeeper-system

# 删除 CRD（Helm v3 不会自动清理）
kubectl delete crd -l gatekeeper.sh/system=yes

注意：卸载 CRD 会同时删除所有用户配置、约束模板和约束。

最佳实践建议

1. 生产环境：建议使用预构建的稳定版本
2. 测试环境：可使用开发版本或自定义构建版本
3. 版本控制：建议记录安装的版本号，便于后续升级和维护
4. 资源监控：安装后监控 Gatekeeper 的资源使用情况

通过本文介绍的安装方法，您可以根据实际需求选择最适合的方式在 Kubernetes 集群中部署 Gatekeeper，为您的集群提供强大的策略执行能力。