החלה של כמה חבילות של Policy Controller

בדף הזה מוסבר איך להפעיל חבילות של Policy Controller.

למידע מפורט יותר על הגשת בקשה לשימוש בחבילות מדיניות ועל השימוש בהן, אפשר לקרוא את ההוראות לגבי החבילה שרוצים להחיל בתפריט הניווט הימני. מידע נוסף על חבילות מדיניות זמין במאמר סקירה כללית של חבילות Policy Controller.

אם התקנתם את Policy Controller באמצעות מסוף Google Cloud , חבילת policy essentials מותקנת כברירת מחדל, אבל אתם יכולים להפעיל חבילות נוספות.

לפני שמתחילים

החלת חבילות מדיניות

המסוף

כדי להחיל חבילת מדיניות אחת או יותר על אשכול באמצעות Google Cloud המסוף:

  1. נכנסים לדף Policy בקטע Posture Management במסוף Google Cloud .

    למדיניות

  2. בכרטיסייה הגדרות, בטבלת האשכולות, לוחצים על עריכה בעמודה עריכת ההגדרה.

  3. בתפריט הוספה או עריכה של חבילות מדיניות, מוודאים שהאפשרות 'ספריית תבניות' מופעלת.

  4. כדי להפעיל את כל חבילות המדיניות, מעבירים את המתג הוספת כל חבילות המדיניות למצב מופעל .

  5. כדי להפעיל חבילות מדיניות ספציפיות, מעבירים למצב מופעל את המתג של כל חבילת מדיניות שרוצים להפעיל.

  6. אופציונלי: כדי להחריג מרחב שמות מהאכיפה, מרחיבים את התפריט הצגת הגדרות מתקדמות. בשדה Exempt namespaces (מרחבי שמות שמוחרגים) מזינים רשימה של מרחבי שמות תקינים.

    שיטה מומלצת:

    כדי למנוע שגיאות בסביבה, צריך להחריג מרחבי שמות של מערכות. הוראות להחרגת מרחבי שמות ורשימה של מרחבי שמות נפוצים שנוצרו על ידי שירותי Google Cloud מופיעות בדף 'החרגת מרחבי שמות'.

  7. לוחצים על שמירת השינויים.

בלוח הבקרה של Policy Controller אפשר לראות מידע נוסף על הכיסוי של המדיניות והפרות שלה.

gcloud

כדי להחיל חבילת מדיניות, מבצעים את השלבים הבאים:

  1. אם אחד מהחבילות שאתם מפעילים משתמש באילוצים שלמותיים, אתם צריכים להפעיל תמיכה באילוצים שלמותיים:

    gcloud container fleet policycontroller update --referential-rules

    אפשר לבדוק אם חבילה מסוימת דורשת תמיכה באילוצים של הפניות בסקירה הכללית של חבילות המדיניות.

  2. לכל חבילה שרוצים להתקין, מריצים את הפקודה הבאה:

    gcloud container fleet policycontroller content bundles set BUNDLE_NAME

    מחליפים את BUNDLE_NAME בשם החבילה שרוצים להתקין. השם הוא הקידומת של החבילה, לדוגמה cis-k8s-v1.5.1. רשימת השמות מופיעה בסקירה כללית של חבילות מדיניות.

  3. אופציונלי: כדי להחריג מרחב שמות מהאכיפה, מריצים את הפקודה הבאה:

    gcloud container fleet policycontroller content bundles set BUNDLE_NAME \
  --exempted-namespaces=NAMESPACES

    מחליפים את NAMESPACES ברשימה של מרחבי שמות שאתם לא רוצים לאכוף, כשהפריטים מופרדים באמצעות פסיקים. לדוגמה: kube-system,gatekeeper-system.

    מידע נוסף על הוספה של מרחבי שמות שניתן להחריג זמין במאמר בנושא החרגת מרחבי שמות מ-Policy Controller.

  4. כדי להסיר חבילה, מריצים את הפקודה הבאה:

    gcloud container fleet policycontroller content bundles remove BUNDLE_NAME

פתרון בעיות

אי אפשר לשנות חבילות מדיניות שמותקנות ישירות באמצעות ההוראות שבדף הזה. אם נתקלתם בבעיות בחבילת מדיניות ואתם צריכים לבצע בה שינויים, אתם יכולים להתקין את החבילה באמצעות אחת מהשיטות שמופיעות בדף של חבילת המדיניות הספציפית. השיטות האלה שולפות את חבילת המדיניות ממאגר Git, וכך מאפשרות לכם לבצע שינויים. לדוגמה, אם רוצים לערוך את CIS Kubernetes Benchmark 1.5, צריך לפעול לפי ההוראות במאמר שימוש באילוצי מדיניות של CIS Kubernetes Benchmark v1.5.1 במקום בדף הזה.

המאמרים הבאים