Open Policy Agent Gatekeeper 安装与卸载完全指南

Open Policy Agent Gatekeeper 安装与卸载完全指南

前言

Open Policy Agent (OPA) Gatekeeper 是 Kubernetes 中实现策略即代码(Policy as Code)的重要工具。本文将详细介绍 Gatekeeper 的安装与卸载过程，帮助您快速在 Kubernetes 集群中部署这一强大的策略执行组件。

安装前准备

Kubernetes 版本要求

Gatekeeper 对 Kubernetes 版本的支持遵循 Kubernetes 官方发布的版本兼容策略。特别需要注意的是：

• Gatekeeper 需要 Kubernetes v1.16 及以上版本
• 最低支持版本与 Kubernetes 官方支持策略保持一致

权限要求

安装 Gatekeeper 需要集群管理员权限。执行以下命令确保您拥有足够权限：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方式详解

1. 使用预构建镜像安装（推荐）

这是最简单的安装方式，适合大多数用户：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/release-3.6/deploy/gatekeeper.yaml

此命令会部署 Gatekeeper 的最新稳定版本（v3.6）。

2. 使用开发镜像安装

如需测试最新开发版本，可以使用开发镜像标签：

• openpolicyagent/gatekeeper:dev - 最新开发版本
• openpolicyagent/gatekeeper:<SHA> - 特定提交版本

3. 从源码构建安装

适合需要自定义构建的开发人员，步骤如下：

1. 确保环境准备：

   • Docker 19.03+
   • 安装 Kubebuilder 和 Kustomize
   • kubectl 上下文设置正确
   • 有可写入的容器镜像仓库

2. 克隆仓库并构建镜像：

git clone https://github.com/open-policy-agent/gatekeeper.git
cd gatekeeper
export DESTINATION_GATEKEEPER_IMAGE=<您的目标镜像地址>
make docker-buildx REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"
make docker-push REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"

3. 部署到集群：

make deploy REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"

4. 使用 Helm 安装

Gatekeeper 提供了 Helm chart 支持：

1. 添加 Helm 仓库：

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

2. 安装 Gatekeeper：

helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system --create-namespace

3. 自定义配置： 修改 charts/gatekeeper/values.yaml 文件后，运行 make manifests 重新生成模板。

注意：从 Gatekeeper v3.1.1 开始完全支持 Helm v3，使用 Helm v3 时可能会看到关于 crd-install hook 的警告，这是为了保持与 Helm v2 的兼容性，不会影响实际部署。

卸载 Gatekeeper

1. 预构建镜像方式卸载

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/release-3.6/deploy/gatekeeper.yaml

2. make 方式卸载

cd gatekeeper
make uninstall

3. Helm 方式卸载

helm delete gatekeeper --namespace gatekeeper-system

重要提示：Helm v3 不会自动清理 CRD，需手动执行：

kubectl delete crd -l gatekeeper.sh/system=yes

注意此操作会同时删除所有用户配置、约束模板和约束。

最佳实践建议

1. 生产环境：建议使用预构建镜像的稳定版本
2. 测试环境：可以尝试开发版本或自定义构建
3. 权限管理：安装后根据实际需要调整 RBAC 配置
4. 资源监控：Gatekeeper 会消耗一定资源，建议监控其运行状态

通过本文介绍的多种安装方式，您可以根据实际需求选择最适合的方法在 Kubernetes 集群中部署 Gatekeeper，为您的集群策略管理提供强大支持。