Open Policy Agent Gatekeeper 安装与卸载完全指南

Open Policy Agent Gatekeeper 安装与卸载完全指南

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper

前言

Open Policy Agent (OPA) Gatekeeper 是 Kubernetes 生态中重要的策略管理工具，它通过准入控制器机制实现对集群资源的策略约束。本文将全面介绍 Gatekeeper 的安装与卸载方法，帮助您快速在 Kubernetes 集群中部署这一强大的策略执行工具。

安装前准备

环境要求

1. Kubernetes 版本要求：

   • 最低支持版本与 Kubernetes 官方支持的版本策略保持一致
   • 特别注意：Gatekeeper 需要 Kubernetes v1.16 及以上版本引入的 API 资源

2. RBAC 权限配置：

   • 安装前需确保拥有集群管理员权限
   • 执行以下命令配置权限绑定：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法详解

方法一：使用预构建镜像安装（推荐新手）

这是最简单的安装方式，适合快速部署稳定版本：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.15.0/deploy/gatekeeper.yaml

特点：

• 一键式安装，无需额外配置
• 使用官方测试验证过的稳定版本
• 适合生产环境使用

方法二：使用开发镜像安装

如需测试最新开发版本，可使用以下镜像标签：

• openpolicyagent/gatekeeper:dev（最新开发版）
• openpolicyagent/gatekeeper:<SHA>（特定提交版本）

适用场景：

• 需要体验最新功能
• 测试特定问题修复
• 开发环境使用

方法三：从源码构建安装（高级）

适合需要自定义构建或开发贡献者：

1. 准备环境：

   • Docker 20.10+
   • 正确配置的 kubectl 上下文
   • 可访问的容器镜像仓库

2. 构建流程：

git clone 仓库地址
cd gatekeeper
export DESTINATION_GATEKEEPER_IMAGE=您的镜像仓库地址
make docker-buildx REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE OUTPUT_TYPE=type=registry
make deploy REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE

注意事项：

• 本地测试可不设置 OUTPUT_TYPE，默认使用本地 Docker
• 生产环境需确保镜像仓库可被集群访问

方法四：通过 Helm 安装

Gatekeeper 提供了 Helm Chart 支持：

1. 添加仓库：

helm repo add gatekeeper 仓库地址

2. 安装命令：

helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace

高级配置：

• 可修改 charts/gatekeeper/values.yaml 自定义部署
• 生成新模板：make manifests

版本兼容性：

• Helm v3 从 Gatekeeper v3.1.1 开始完全支持
• 忽略关于 crd-install 的警告信息，这是为兼容 Helm v2 保留的

卸载指南

预构建镜像方式卸载

kubectl delete -f 原始安装使用的YAML地址

Make 方式卸载

cd gatekeeper
make uninstall

Helm 方式卸载

1. 删除部署：

helm delete gatekeeper --namespace gatekeeper-system

2. 清理 CRD（Helm v3 特有）：

kubectl delete crd -l gatekeeper.sh/system=yes

重要提示：卸载 CRD 会同时删除所有策略配置、约束模板和约束实例，操作前请确认。

最佳实践建议

1. 生产环境选择：

   • 推荐使用预构建的稳定版本
   • 测试环境可尝试开发版本

2. 版本管理：

   • 保持与 Kubernetes 版本的兼容性
   • 定期升级到最新稳定版

3. 权限控制：

   • 安装后及时撤销不必要的管理员权限
   • 使用最小权限原则配置策略管理

通过本文介绍的多种安装方式，您可以根据实际需求选择最适合的 Gatekeeper 部署方案。无论是简单的测试环境还是复杂的企业级部署，Gatekeeper 都能提供强大的策略管理能力。

gatekeeper 🐊 Gatekeeper - Policy Controller for Kubernetes 项目地址: https://gitcode.com/gh_mirrors/gat/gatekeeper