Utilizzare i vincoli dei criteri di costo e affidabilità

Policy Controller include una libreria predefinita di modelli di vincolo che possono essere utilizzati con il bundle di policy Cost and Reliability che aiuta ad adottare le best practice per l'esecuzione di cluster GKE efficienti in termini di costi senza compromettere le prestazioni o l'affidabilità dei carichi di lavoro.

Questa pagina contiene le istruzioni per applicare manualmente un bundle di policy. In alternativa, puoi applicare i bundle di policy direttamente.

Avviso: dopo aver scelto un metodo per applicare i bundle di policy (manuale, gcloud CLI o Google Cloud console), l'utilizzo di un metodo diverso per installare i bundle di policy può causare errori nell'ambiente.

Vincoli del bundle di policy Cost and Reliability

Nome vincolo	Descrizione vincolo
cost-reliability-v2023-pod-disruption-budget	Richiede la configurazione di PodDisruptionBudget per deployment, ReplicaSet, StatefulSet e ReplicationController.
cost-reliability-v2023-pod-resources-best-practices	Richiede che i container impostino le richieste di risorse e seguano le best practice.
cost-reliability-v2023-required-labels	Richiede che tutti i pod e i controller (ReplicaSet, Deployment, StatefulSet e DaemonSet) abbiano le etichette richieste: environment, team e app.
cost-reliability-v2023-restrict-repos	Limita le immagini container a un elenco di repository consentiti per utilizzare Artifact Registry e sfruttare lo streaming di immagini.
cost-reliability-v2023-spotvm-termination-grace	Richiede terminationGracePeriodSeconds di 15 secondi o meno per pod e modelli di pod con un nodeSelector o nodeAfffinty per gke-spot.

Prima di iniziare

1. Installa e inizializza Google Cloud CLI , che fornisce i comandi gcloud e kubectl utilizzati in queste istruzioni. Se utilizzi Cloud Shell, Google Cloud CLI è preinstallato.
2. Installa Policy Controller sul cluster con la libreria predefinita di modelli di vincolo templates. Devi anche abilitare il supporto per i vincoli referenziali poiché questo bundle contiene vincoli referenziali.

Configura Policy Controller per i vincoli referenziali

Avviso: puoi sovrascrivere le modifiche. Se hai già un oggetto Config nello spazio dei nomi gatekeeper-system, devi includere tutte le impostazioni di personalizzazione precedenti per conservare le modifiche.

1. Salva il seguente manifest YAML in un file come policycontroller-config.yaml. Il manifest configura Policy Controller per monitorare tipi specifici di oggetti.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: ""
           version: "v1"
           kind: "Service"
         - group: "policy"
           version: "v1"
           kind: "PodDisruptionBudget"
   

2. Applica il manifest policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Configura il cluster e il carico di lavoro

1. Qualsiasi pod selezionato da un service deve includere un probe di idoneità.
2. Tutti i deployment, replicaset, statefulset e replicationcontroller devono includere un poddisruptionbudget.
3. Tutti i container devono includere richieste di cpu e memory e un limite di memory uguale a richieste di memory seguendo le best practice.
4. Aggiungi le etichette environment, team e app a tutti i pod e i modelli di pod.
5. Ospita le immagini container utilizzando Artifact Registry nella stessa regione del cluster per abilitare lo streaming di immagini. Consenti Artifact Registry pertinente seguendo l'esempio in cost-reliability-v2023-restrict-repos.
6. Tutti i pod e i modelli di pod che utilizzano gke-spot devono includere un terminationGracePeriodSeconds di 15 secondi o meno.

Esegui l'audit del bundle di policy Cost and Reliability

Policy Controller consente di applicare le policy per il cluster Kubernetes. Per testare i carichi di lavoro e la loro conformità alle policy Cost and Reliability descritte nella tabella precedente, puoi eseguire il deployment di questi vincoli in modalità "audit" per rivelare le violazioni e, soprattutto, darti la possibilità di correggerle prima di applicarle al cluster Kubernetes.

Puoi applicare queste policy con spec.enforcementAction impostato su dryrun utilizzando kubectl, kpt , o Config Sync .

kubectl

1. (Facoltativo) Visualizza l'anteprima dei vincoli di policy con kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

2. Applica i vincoli di policy con kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

   L'output è il seguente:

   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created
   

3. Verifica che i vincoli di policy siano stati installati e controlla se esistono violazioni nel cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

   L'output è simile al seguente:

   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0
   

kpt

1. Installa e configura kpt.

   kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.

2. Scarica il bundle di policy PCI-DSS v3.2.1 da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023
   

3. Esegui la set-enforcement-action funzione kpt per impostare l'azione di applicazione delle policy su dryrun:

   kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inizializza la directory di lavoro con kpt, che crea una risorsa per monitorare le modifiche:

   cd cost-reliability-v2023 kpt live init
   

5. Applica i vincoli di policy con kpt:

   kpt live apply
   

6. Verifica che i vincoli di policy siano stati installati e controlla se esistono violazioni nel cluster:

   kpt live status --output table --poll-until current
   

   Lo stato CURRENT conferma l'installazione riuscita dei vincoli.

Config Sync

1. Installa e configura kpt.

   kpt viene utilizzato in queste istruzioni per personalizzare ed eseguire il deployment delle risorse Kubernetes.

   Gli operatori che utilizzano Config Sync per eseguire il deployment delle policy nei cluster possono utilizzare le seguenti istruzioni:

2. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

   Nota: kpt v1.0.0-beta.17 e versioni successive creano automaticamente un resourcegroup.yaml file durante live init, che non deve essere eseguito il check-in nel repository Config Sync. Se non è già presente, aggiungi resourcegroup.yaml al file .gitignore del repository.

   Per creare o aggiungere .gitignore con resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Crea una directory policies dedicata:

   mkdir -p policies
   

4. Scarica il bundle di policy Cost and Reliability da GitHub utilizzando kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023
   

5. Esegui la set-enforcement-action funzione kpt per impostare l'azione di applicazione delle policy su dryrun:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Facoltativo) Visualizza l'anteprima dei vincoli di policy da creare:

   kpt live init policies/cost-reliability-v2023
   kpt live apply --dry-run policies/cost-reliability-v2023
   

7. Se la directory di sincronizzazione per Config Sync utilizza Kustomize, aggiungi policies/cost-reliability-v2023 al file kustomization.yaml principale. In caso contrario, rimuovi il file policies/cost-reliability-v2023/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
   

8. Esegui il push delle modifiche nel repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
   git push
   

9. Verifica lo stato dell'installazione:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Lo stato SYNCED conferma l'installazione delle policy.

Visualizzare le violazioni delle norme

Una volta installati i vincoli di policy in modalità di audit, le violazioni nel cluster possono essere visualizzate nell'interfaccia utente utilizzando la dashboard di Policy Controller.

Puoi anche utilizzare kubectl per visualizzare le violazioni nel cluster utilizzando il seguente comando:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Se sono presenti violazioni, puoi visualizzare un elenco dei messaggi di violazione per vincolo con:

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Modificare l'azione di applicazione del bundle di policy Cost and Reliability

Dopo aver esaminato le violazioni delle policy nel cluster, puoi prendere in considerazione la modifica della modalità di applicazione in modo che il controller di ammissione warn o addirittura deny blocchi l'applicazione al cluster delle risorse non conformi.

Avviso: l'azione di applicazione deny deve essere utilizzata con cautela, in quanto può potenzialmente bloccare le modifiche richieste, causando l'interruzione dei carichi di lavoro o del cluster critici. È vivamente consigliato di utilizzare solo le azioni di applicazione warn o dryrun sui cluster con carichi di lavoro di produzione, durante il test di nuovi vincoli o l'esecuzione di migrazioni come l'upgrade delle piattaforme. Per ulteriori informazioni sulle azioni di applicazione, consulta la sezione Audit utilizzando i vincoli.

kubectl

1. Utilizza kubectl per impostare l'azione di applicazione delle policy su warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifica che l'azione di applicazione dei vincoli di policy sia stata aggiornata:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023
   

kpt

1. Esegui la set-enforcement-action funzione kpt per impostare l'azione di applicazione delle policy su warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Applica i vincoli di policy:

   kpt live apply
   

Config Sync

Gli operatori che utilizzano Config Sync per eseguire il deployment delle policy nei cluster possono utilizzare le seguenti istruzioni:

1. Passa alla directory di sincronizzazione per Config Sync:

   cd SYNC_ROOT_DIR
   

2. Esegui la set-enforcement-action funzione kpt per impostare l'azione di applicazione delle policy su warn:

   kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Esegui il push delle modifiche nel repository Config Sync:

   git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
   git push
   

4. Verifica lo stato dell'installazione:

   nomos status
   

   Il cluster dovrebbe mostrare lo stato SYNCED con le policy installate.

Testare l'applicazione delle policy

Crea una risorsa non conforme nel cluster utilizzando il seguente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

Il controller di ammissione dovrebbe generare un avviso che elenca le violazioni delle policy che questa risorsa viola, come mostrato nell'esempio seguente:

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Rimuovere il bundle di policy Cost and Reliability

Se necessario, il bundle di policy Cost and Reliability può essere rimosso dal cluster.

kubectl

Utilizza kubectl per rimuovere le policy:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023
  

kpt

Rimuovi le policy:

  kpt live destroy
  

Config Sync

Gli operatori che utilizzano Config Sync per eseguire il deployment delle policy nei cluster possono utilizzare le seguenti istruzioni:

1. Esegui il push delle modifiche nel repository Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
   git commit -m 'Removing Cost and Reliability policies'
   git push
   

2. Verifica lo stato:

   nomos status
   

   Il cluster dovrebbe mostrare lo stato SYNCED con le risorse rimosse.