정책 컨트롤러 설치

콘솔

Google Cloud 콘솔에서 정책 컨트롤러를 설치하려면 다음 단계를 완료하세요.

1. Google Cloud 콘솔의 상황 관리 섹션에서 GKE Enterprise 정책 페이지로 이동합니다.

   정책으로 이동

2. add 정책 컨트롤러 설치를 선택합니다.

3. 정책 컨트롤러 설치 창에서 다음 설치 옵션 중 하나를 선택합니다.

   • Fleet의 모든 클러스터에 정책 컨트롤러를 설치하려면 다음 안내를 따르세요.

     1. Fleet에 설치를 선택된 상태로 둡니다.

        프로젝트에 Fleet이 없으면 다음 단계에서 Fleet을 만들 수 있습니다.

     2. Fleet이 아직 없으면 Fleet 이름을 선택합니다.

     3. 정책 컨트롤러 활성화를 선택합니다.

   • 개별 클러스터에 정책 컨트롤러 설치하기

     1. 개별 클러스터에 설치를 선택합니다.

     2. 사용 가능한 클러스터 테이블에서 정책 컨트롤러를 설치할 클러스터를 선택합니다.

     3. 정책 컨트롤러 활성화를 선택합니다.

정책 컨트롤러 설정 탭으로 리디렉션됩니다. 클러스터에 정책 컨트롤러가 설치되고 구성되면 상태 열에 설치됨 check_circle이 표시됩니다. 몇 분 정도 걸릴 수 있습니다.

gcloud 정책 컨트롤러

다음 명령어를 실행하여 정책 컨트롤러를 사용 설정합니다.

gcloud container fleet policycontroller enable \
    --memberships=MEMBERSHIP_NAME

정책 컨트롤러를 구성하기 위해 추가 필드를 설정할 수 있습니다. 예를 들어 정책 컨트롤러가 일부 네임스페이스를 시행에서 제외하도록 할 수 있습니다. 구성할 수 있는 필드의 전체 목록은 정책 컨트롤러 Google Cloud CLI 문서를 참조하거나 gcloud container fleet policycontroller enable --help를 실행하세요.

gcloud ConfigManagement

1. 새 apply-spec.yaml 매니페스트를 만들거나 기존 매니페스트를 추가하여 구성을 준비합니다. 기존 매니페스트를 사용하면 다른 클러스터에 사용되는 것과 동일한 설정으로 클러스터를 구성할 수 있습니다.

   새 매니페스트 만들기

   클러스터에 대해 정책 컨트롤러를 새 설정으로 구성하려면 apply-spec.yaml이라는 파일을 만들고 이 파일에 다음 YAML 파일을 복사합니다.

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     policyController:
       # Set to true to install and enable Policy Controller
       enabled: true
       # Uncomment to prevent the template library from being installed
       # templateLibraryInstalled: false
       # Uncomment to enable support for referential constraints
       # referentialRulesEnabled: true
       # Uncomment to disable audit, adjust value to set audit interval
       # auditIntervalSeconds: 0
       # Uncomment to log all denies and dryrun failures
       # logDeniesEnabled: true
       # Uncomment to enable mutation
       # mutationEnabled: true
       # Uncomment to exempt namespaces
       # exemptableNamespaces: ["namespace-name"]
       # Uncomment to change the monitoring backends
       # monitoring:
       #     backends:
       #     - cloudmonitoring
       #     - prometheus
     # ...other fields...
   

   spec.policyController 필드를 추가하고 enabled의 값을 true로 설정해야 합니다. 다른 정책 컨트롤러 기능을 사용 설정하도록 선택할 수 있습니다. 하지만 참조 제약조건에 대한 지원은 기본적으로 사용 중지됩니다. 사용하기 전에 eventual consistency에 대한 주의사항을 숙지해야 합니다.

   기존 매니페스트 사용

   다른 클러스터에서 사용하는 것과 동일한 설정으로 클러스터를 구성하려면 등록된 클러스터에서 설정을 가져옵니다.

   gcloud alpha container fleet config-management fetch-for-apply \
        --membership=MEMBERSHIP_NAME \
        --project=PROJECT_ID \
        > CONFIG_YAML_PATH
   

   다음을 바꿉니다.

   • MEMBERSHIP_NAME: 사용할 정책 컨트롤러 설정이 있는 등록된 클러스터의 멤버십 이름
   • PROJECT_ID: 프로젝트 ID입니다.
   • CONFIG_YAML_PATH: apply-spec.yaml 파일의 경로입니다.

2. apply-spec.yaml 파일을 적용합니다.

   gcloud beta container fleet config-management apply \
       --membership=MEMBERSHIP_NAME \
       --config=CONFIG_YAML \
       --project=PROJECT_ID
   

   다음을 바꿉니다.

   • MEMBERSHIP_NAME: 사용할 정책 컨트롤러 설정이 있는 등록된 클러스터의 멤버십 이름입니다.
   • CONFIG_YAML: apply-spec.yaml 파일의 경로를 추가합니다.
   • PROJECT_ID: 프로젝트 ID를 추가합니다.

포드가 생성되고 정책 컨트롤러가 제약조건을 확인하고 적용하기 시작합니다.

콘솔

다음 단계를 완료합니다.

1. Google Cloud 콘솔의 상황 관리 섹션에서 GKE Enterprise 정책 페이지로 이동합니다.

   정책으로 이동

2. 설정 탭의 클러스터 테이블에서 정책 컨트롤러 상태 열을 확인합니다. 설치가 완료되면 설치됨 check_circle 상태가 표시됩니다.

gcloud 정책 컨트롤러

다음 명령어를 실행합니다.

gcloud container fleet policycontroller describe --memberships=MEMBERSHIP_NAME

설치에 성공하면 membershipStates: MEMBERSHIP_NAME: policycontroller: state: ACTIVE가 표시됩니다.

gcloud ConfigManagement

다음 명령어를 실행합니다.

gcloud beta container fleet config-management status \
    --project=PROJECT_ID

PROJECT_ID를 프로젝트 ID로 바꿉니다.

다음과 비슷한 출력이 표시됩니다.

Name          Status  Last_Synced_Token  Sync_Branch  Last_Synced_Time      Policy_Controller
CLUSTER_NAME  SYNCED  a687c2c            1.0.0        2021-02-17T00:15:55Z  INSTALLED

설치가 완료되면 정책 컨트롤러 열에서 INSTALLED 상태가 됩니다.

콘솔

다음 단계를 완료합니다.

1. Google Cloud 콘솔의 상황 관리 섹션에서 GKE Enterprise 정책 페이지로 이동합니다.

   정책으로 이동

2. 설정 탭의 클러스터 테이블에서 설치된 번들 열에 나열된 번호를 선택합니다. 정책 콘텐츠 상태 창에서 템플릿 라이브러리가 성공적으로 설치되면 설치됨 check_circle 상태가 표시됩니다.

gcloud

다음 명령어를 실행합니다.

kubectl get constrainttemplates

다음과 비슷한 출력이 표시됩니다.

NAME                                      AGE
k8sallowedrepos                           84s
k8scontainerlimits                        84s
k8spspallowprivilegeescalationcontainer   84s
...[OUTPUT TRUNCATED]...

개별 제약조건 템플릿이 올바르게 설치되면 status.created 필드는 true입니다.

콘솔

1. Google Cloud 콘솔에서 기능 관리자 페이지로 이동합니다.

   기능 관리자로 이동

2. 정책 창에서 구성을 클릭합니다.

3. Fleet 수준 설정을 검토합니다. Fleet에 등록하는 새 클러스터가 모두 이러한 설정을 상속합니다.

4. 선택사항: 기본 설정을 변경하려면 Fleet 맞춤설정을 클릭합니다. 대화상자가 나타나면 다음을 수행합니다.

   1. 정책 번들 추가/수정 섹션에서 관련 전환 버튼을 클릭하여 정책 번들을 포함하거나 제외합니다.
   2. 정책 컨트롤러 구성 수정 섹션에서 다음을 수행합니다.
      1. 변형 웹훅을 사용 설정하려면 변형 웹훅 사용 설정 체크박스를 선택합니다. 이 기능은 Autopilot 클러스터와 호환되지 않습니다.
      2. 감사 간격 상자에 두 개의 연속 감사 사이의 기간(초)을 입력합니다.
      3. 제외 가능한 네임스페이스 상자에 네임스페이스 목록을 입력합니다. 정책 컨트롤러는 이러한 네임스페이스의 객체를 무시합니다.
      4. 참조 제약조건을 사용 설정하려면 현재 평가 중인 객체가 아닌 객체를 참조하는 제약조건 템플릿을 사용 설정합니다. 체크박스를 선택합니다.
      5. 버전 목록에서 사용할 정책 컨트롤러 버전을 선택합니다.
   3. 변경사항 저장을 클릭합니다.

5. 구성을 클릭합니다.

6. 확인 대화상자에서 확인을 클릭합니다. 이전에 정책 컨트롤러를 사용 설정하지 않은 경우 확인을 클릭하면 anthospolicycontroller.googleapis.com API가 사용 설정됩니다.

7. 선택사항: 기존 클러스터를 기본 설정으로 동기화합니다.

   1. Fleet의 클러스터 목록에서 동기화할 클러스터를 선택합니다.
   2. Fleet 설정과 동기화를 클릭하고 확인 대화상자가 나타나면 확인을 클릭합니다. 이 작업을 완료하는 데 몇 분 정도 걸릴 수 있습니다.

gcloud

1. 정책 컨트롤러의 기본 구성이 포함된 fleet-default.yaml이라는 파일을 만듭니다. Fleet 수준 기본값을 사용 설정하려면 installSpec 필드가 필요합니다. 이 예시에서는 구성할 수 있는 옵션을 보여줍니다.

   # cat fleet-default.yaml
   
    policyControllerHubConfig:
     installSpec: INSTALL_SPEC_ENABLED 
     # Uncomment to set default deployment-level configurations.
     # deploymentConfigs:
     #   admission:
     #     containerResources:
     #       limits:
     #        cpu: 1000m
     #         memory: 8Gi
     #       requests:
     #         cpu: 500m
     #         memory: 4Gi
     # Uncomment to set policy bundles that you want to install by default.
     # policyContent:
     #   bundles:
     #     cis-k8s-v1.5.1:
     #       exemptedNamespaces:
     #       - "namespace-name"
     # Uncomment to exempt namespaces from admission.
     # exemptableNamespaces:
     # - "namespace-name"
     # Uncomment to enable support for referential constraints
     # referentialRulesEnabled: true
     # Uncomment to disable audit, adjust value to set audit interval
     # auditIntervalSeconds: 0
     # Uncomment to log all denies and dryrun failures
     # logDeniesEnabled: true
     # Uncomment to enable mutation
     # mutationEnabled: true
     # Uncomment to adjust the value to set the constraint violation limit
     # constraintViolationLimit: 20
     # ... other fields ...
   

2. Fleet에 기본 구성을 적용합니다.

   gcloud container fleet policycontroller enable \
     --fleet-default-member-config=fleet-default.yaml
   

3. 구성이 적용되었는지 확인하려면 다음 명령어를 실행합니다.

   gcloud container fleet policycontroller describe
   

4. Fleet 수준의 기본 구성을 삭제하려면 다음 명령어를 실행합니다.

   gcloud container fleet policycontroller enable \
     --no-fleet-default-member-config
   

콘솔

1. Google Cloud 콘솔의 상황 관리 섹션에서 GKE Enterprise 정책 페이지로 이동합니다.

   정책으로 이동

2. 설정 탭에서 버전을 업그레이드하려는 클러스터 옆에 있는 edit 구성 수정을 선택합니다.
3. 정책 컨트롤러 구성 수정 메뉴를 확장합니다.
4. 버전 드롭다운 목록에서 업그레이드할 버전을 선택합니다.
5. 변경사항 저장을 클릭합니다.

gcloud

다음 명령어를 실행합니다.

gcloud container fleet policycontroller update \
  --version=VERSION \
  --memberships=MEMBERSHIP_NAME

다음을 바꿉니다.

• VERSION: 업그레이드할 버전입니다.
• MEMBERSHIP_NAME: 클러스터를 등록할 때 선택한 멤버십 이름입니다. gcloud container fleet memberships list를 실행하면 멤버십 이름을 찾을 수 있습니다.

콘솔

클러스터에서 정책 컨트롤러를 사용 중지하려면 다음 태스크를 완료하세요.

1. Google Cloud 콘솔의 상황 관리 섹션에서 GKE Enterprise 정책 페이지로 이동합니다.

   정책으로 이동

2. 설정 탭의 클러스터 테이블에서 구성 수정 열의 수정 edit을 선택합니다.
3. 클러스터 창에서 아래로 스크롤하여 정책 컨트롤러 정보 메뉴를 확장합니다.
4. 정책 컨트롤러 제거를 선택합니다.
5. 확인 대화상자의 안내를 따르고 확인을 선택하여 제거를 확인합니다.

정책 컨트롤러가 제거되면 상태 열에 설치되지 않음 do_not_disturb_on이 표시됩니다.

gcloud 정책 컨트롤러

정책 컨트롤러를 제거하려면 다음 명령어를 실행합니다.

gcloud container fleet policycontroller disable \
  --memberships=MEMBERSHIP_NAME

정책 컨트롤러를 사용 중지하려면 MEMBERSHIP_NAME을 등록된 클러스터의 멤버십 이름으로 바꿉니다. 쉼표로 구분하여 여러 멤버십을 지정할 수 있습니다.

gcloud ConfigManagement

정책 컨트롤러를 제거하려면 다음 안내를 따르세요.

1. apply-spec.yaml 파일에서 ConfigManagement Operator 구성을 수정하고 policyController.enabled를 false로 설정합니다.

2. apply-spec.yaml 파일의 변경사항을 적용합니다.

    gcloud beta container fleet config-management apply \
        --membership=CLUSTER_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   다음을 바꿉니다.

   • CLUSTER_NAME: 이 구성을 적용할 등록된 클러스터를 추가합니다.
   • CONFIG_YAML: apply-spec.yaml 파일의 경로를 추가합니다.
   • PROJECT_ID: 프로젝트 ID를 추가합니다.