החרגת מרחבי שמות מ-Policy Controller

בדף הזה מוסבר איך להגדיר מרחבי שמות שפטורים מפיקוח ב-Policy Controller.

מרחבי שמות שמוחרגים מסירים מרחב שמות מאכיפת ה-webhook של הגישה באמצעות Policy Controller, אבל כל ההפרות עדיין מדווחות בביקורת. אם לא מגדירים מרחבי שמות, רק מרחב השמות gatekeeper-system מוגדר מראש כפטור מאכיפת ה-webhook של Policy Controller.

הגדרת מרחבי שמות שפטורים מאימות

הגדרת מרחב שמות שניתן להחרגה מוסיפה את התווית admission.gatekeeper.sh/ignore, שפוטרת את מרחב השמות מאכיפת webhook של קבלת בקשות ב-Policy Controller. אם מסירים בהמשך מרחב שמות שניתן להחרגה, Policy Controller לא מסיר את התווית admission.gatekeeper.sh/ignore ממרחב השמות.

החרגת מרחבי שמות מאכיפה

אפשר להחריג מרחבי שמות במהלך ההתקנה של Policy Controller או אחרי ההתקנה. בתהליך הבא מוסבר איך להחריג מרחבי שמות אחרי ההתקנה.

המסוף

  1. נכנסים לדף Policy בקטע Posture Management במסוף Google Cloud .

    למדיניות

  2. בכרטיסייה הגדרות, בטבלת האשכולות, לוחצים על עריכה בעמודה עריכת ההגדרה.
  3. מרחיבים את התפריט Edit Policy Controller configuration (עריכת ההגדרה של Policy Controller).
  4. בשדה Exempt namespaces (מרחבי שמות שמוחרגים), מזינים רשימה של מרחבי שמות תקינים. המערכת מתעלמת מכללי מדיניות לגבי אובייקטים במרחבי השמות האלה. אין צורך שמרחבי השמות כבר יתקיימו.
  5. לוחצים על שמירת השינויים.

gcloud

כדי להוסיף מרחבי שמות לרשימת מרחבי השמות שאולי יהיו פטורים מאכיפה על ידי ה-webhook של הגישה, מריצים את הפקודה הבאה:

  gcloud container fleet policycontroller update \
    --memberships=MEMBERSHIP_NAME \
    --exemptable-namespaces=NAMESPACE_LIST

מחליפים את מה שכתוב בשדות הבאים:

  • ‫MEMBERSHIP_NAME: שם החברות של האשכול הרשום שרוצים להחריג בו את מרחבי השמות. אפשר לציין כמה חברויות ולהפריד ביניהן באמצעות פסיקים.
  • ‫NAMESPACE_LIST: רשימה מופרדת בפסיקים של מרחבי שמות שרוצים ש-Policy Controller לא יאכוף לגביהם את המדיניות.

הפקודה הזו פוטרת משאבים רק מ-webhook של קבלת בקשות. המשאבים עדיין נבדקים. כדי להחריג מרחבי שמות מביקורת, צריך להגדיר את ההחרגה ברמת חבילת המדיניות:

  gcloud container fleet policycontroller content bundles set BUNDLE_NAME \
    --memberships=MEMBERSHIP_NAME \
    --exempted-namespaces=NAMESPACE_LIST

מחליפים את מה שכתוב בשדות הבאים:

  • ‫BUNDLE_NAME בשם חבילת המדיניות שרוצים לעדכן עם מרחבי שמות שמוחרגים מהמדיניות.
  • ‫MEMBERSHIP_NAME: שם החברות של האשכול הרשום שרוצים להחריג בו את מרחבי השמות. אפשר לציין כמה חברויות ולהפריד ביניהן באמצעות פסיקים.
  • ‫NAMESPACE_LIST: רשימה מופרדת בפסיקים של מרחבי שמות שרוצים ש-Policy Controller לא יאכוף לגביהם את המדיניות.

מרחבי שמות שפטורים מאכיפה

הרשימה הבאה מציגה מרחבי שמות נפוצים של מערכות שאולי תרצו להחריג מהאכיפה כדי למנוע התנהגות לא רצויה, כמו חסימת שדרוגים. זו רשימה חלקית בלבד:

- anthos-creds
- anthos-identity-service
- apigee
- apigee-system
- asm-system
- capi-kubeadm-bootstrap-system
- capi-system
- cert-manager
- cnrm-system
- config-management-monitoring
- config-management-system
- gke-connect
- gke-gmp-system
- gke-managed-cim
- gke-managed-filestorecsi
- gke-managed-metrics-server
- gke-managed-system
- gke-system
- gmp-public
- gmp-system
- hnc-system
- istio-system
- kube-node-lease
- kube-public
- kube-system
- poco-trial
- resource-group-system
- vm-system
- krmapihosting-system
- krmapihosting-monitoring