Open Policy Agent Gatekeeper 安装与部署完全指南

原创于 2025-06-11 09:00:08 发布 · 255 阅读

CC 4.0 BY-SA版权

Open Policy Agent Gatekeeper 安装与部署完全指南

前言

Open Policy Agent (OPA) Gatekeeper 是 Kubernetes 生态中一个强大的策略执行工具，它通过自定义资源定义(CRD)和准入控制器来实现对 Kubernetes 资源的策略管控。本文将详细介绍 Gatekeeper 的安装部署方法，帮助您快速在 Kubernetes 集群中搭建策略管理平台。

环境准备

Kubernetes 版本要求

Gatekeeper 对 Kubernetes 版本的支持遵循 Kubernetes 官方发布的版本兼容策略。特别需要注意的是，Gatekeeper 使用了 Kubernetes v1.16 版本引入的 API 资源，因此您的集群版本必须不低于 v1.16。

建议使用与您生产环境相匹配的最新稳定版 Kubernetes，以获得最佳兼容性和安全性支持。

权限配置

安装 Gatekeeper 需要集群管理员权限，执行以下命令配置权限：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法详解

1. 使用预构建镜像安装（推荐新手）

这是最简单的安装方式，适合快速部署稳定版本的 Gatekeeper：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.9.2/deploy/gatekeeper.yaml

特点：

一键式部署，无需额外工具
使用官方测试验证过的稳定版本
适合生产环境使用

2. 使用开发镜像安装

如果您需要测试最新开发中的功能，可以使用开发镜像：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

注意：

开发镜像可能包含未经充分测试的代码
适合测试环境或尝鲜使用
不建议在生产环境使用

3. 从源码构建安装（适合开发者）

对于需要自定义构建或参与开发的用户，可以从源码构建安装：

前置条件：

Docker 19.03 或更高版本
安装 Kubebuilder 和 Kustomize
配置好 kubectl 上下文
拥有可写入的容器镜像仓库

安装步骤：

克隆 Gatekeeper 仓库

设置目标镜像位置：

export DESTINATION_GATEKEEPER_IMAGE=<您的镜像仓库地址>

构建并推送镜像：

make docker-buildx REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"
make docker-push REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"

部署到集群：

make deploy REPOSITORY="$DESTINATION_GATEKEEPER_IMAGE"

优势：

完全自定义构建过程
可以集成自己的修改
适合深度定制需求

4. 使用 Helm 安装（推荐生产环境）

Helm 提供了更灵活的部署方式和配置管理：

Helm v3 安装命令：

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm install gatekeeper/gatekeeper --name-template=gatekeeper --namespace gatekeeper-system --create-namespace

配置说明：

可以通过修改 values.yaml 文件自定义部署参数
支持版本管理和回滚
提供更完善的部署生命周期管理

注意事项：

Helm v3 会显示关于 crd-install 的警告，这是为了保持向后兼容性，不影响实际部署
建议生产环境使用 Helm 的版本锁定功能

卸载 Gatekeeper

预构建镜像方式卸载

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.9.2/deploy/gatekeeper.yaml

源码构建方式卸载

在仓库目录执行：

make uninstall

Helm 方式卸载

helm delete gatekeeper --namespace gatekeeper-system
# 清理 CRD
kubectl delete crd -l gatekeeper.sh/system=yes

重要提示： 卸载操作会删除所有 Gatekeeper 相关资源，包括您配置的策略模板和约束，请谨慎操作。

安装后验证

安装完成后，可以通过以下命令验证 Gatekeeper 是否正常运行：

kubectl get pods -n gatekeeper-system
kubectl get validatingwebhookconfigurations.admissionregistration.k8s.io gatekeeper-validating-webhook-configuration

正常情况下，您应该看到 Gatekeeper 的 Pod 处于 Running 状态，且验证 webhook 配置已正确创建。