Policy Controller installieren

Console

Führen Sie die folgenden Schritte aus, um den Policy Controller in der Google Cloud Console zu konfigurieren:

1. Rufen Sie in der Google Cloud Console im Abschnitt Statusverwaltung die Seite GKE Enterprise-Richtlinie auf.

   Zur Richtlinie

2. Wählen Sie add Policy Controller installieren aus.

3. Wählen Sie im Bereich Policy Controller-Installation eine der folgenden Installationsoptionen aus:

   • So installieren Sie Policy Controller auf allen Clustern in einer Flotte:

     1. Lassen Sie In Flotte installieren ausgewählt.

        Wenn Sie in Ihrem Projekt keine Flotte haben, können Sie im nächsten Schritt eine Flotte erstellen.

     2. Wenn Sie noch keine Flotte haben, wählen Sie einen Namen für Ihre Flotte aus.

     3. Wählen Sie Policy Controller aktivieren aus.

   • Policy Controller in einzelnen Clustern installieren

     1. Wählen Sie Auf einzelnen Clustern installieren aus.

     2. Wählen Sie in der Tabelle Verfügbare Cluster die Cluster aus, in denen Sie Policy Controller installieren möchten.

     3. Wählen Sie Policy Controller aktivieren aus.

Sie werden zum Tab Einstellungen des Policy Controllers weitergeleitet. Wenn Policy Controller in Ihren Clustern installiert und konfiguriert ist, wird in den Statusspalten Installiert check_circle angezeigt. Dieser Vorgang kann einige Minuten dauern.

gcloud Policy Controller

Aktivieren Sie Policy Controller mit folgendem Befehl:

gcloud container fleet policycontroller enable \
    --memberships=MEMBERSHIP_NAME

Sie können zusätzliche Felder festlegen, um Policy Controller zu konfigurieren. Sie können beispielsweise Policy Controller anweisen, einige Namespaces von der Erzwingung auszunehmen. Eine vollständige Liste der Felder, die Sie konfigurieren können, finden Sie in der Dokumentation zum Google Cloud CLI von Policy Controller oder führen Sie gcloud container fleet policycontroller enable --help aus.

gcloud-ConfigManagement

1. Bereiten Sie die Konfiguration vor, indem Sie entweder ein neues apply-spec.yaml-Manifest erstellen oder ein vorhandenes Manifest verwenden. Mit einem vorhandenen Manifest können Sie den Cluster mit denselben Einstellungen konfigurieren, die auch von einem anderen Cluster verwendet werden.

   Neues Manifest erstellen

   Um Policy Controller mit neuen Einstellungen für Ihren Cluster zu konfigurieren, erstellen Sie eine Datei mit dem Namen apply-spec.yaml und kopieren Sie in diese die folgende YAML-Datei:

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     policyController:
       # Set to true to install and enable Policy Controller
       enabled: true
       # Uncomment to prevent the template library from being installed
       # templateLibraryInstalled: false
       # Uncomment to enable support for referential constraints
       # referentialRulesEnabled: true
       # Uncomment to disable audit, adjust value to set audit interval
       # auditIntervalSeconds: 0
       # Uncomment to log all denies and dryrun failures
       # logDeniesEnabled: true
       # Uncomment to enable mutation
       # mutationEnabled: true
       # Uncomment to exempt namespaces
       # exemptableNamespaces: ["namespace-name"]
       # Uncomment to change the monitoring backends
       # monitoring:
       #     backends:
       #     - cloudmonitoring
       #     - prometheus
     # ...other fields...
   

   Sie müssen das Feld spec.policyController hinzufügen und den Wert von enabled auf true setzen. Sie können auch andere Policy Controller-Features aktivieren. Der Support für referenzielle Einschränkungen ist jedoch standardmäßig deaktiviert. Vor dem Aktivieren sollten Sie sich mit den Warnhinweisen zu Eventual Consistency vertraut machen.

   Vorhandenes Manifest verwenden

   Um den Cluster mit den Einstellungen zu konfigurieren, die von einem anderen Cluster verwendet werden, rufen Sie diese Einstellungen von einem registrierten Cluster ab.

   gcloud alpha container fleet config-management fetch-for-apply \
        --membership=MEMBERSHIP_NAME \
        --project=PROJECT_ID \
        > CONFIG_YAML_PATH
   

   Dabei gilt:

   • MEMBERSHIP_NAME: Name der Mitgliedschaft des registrierten Clusters mit den Policy Controller-Einstellungen, die Sie verwenden möchten
   • PROJECT_ID: Ihre Projekt-ID
   • CONFIG_YAML_PATH: Pfad zur Datei apply-spec.yaml.

2. Wenden Sie die Datei apply-spec.yaml an:

   gcloud beta container fleet config-management apply \
       --membership=MEMBERSHIP_NAME \
       --config=CONFIG_YAML \
       --project=PROJECT_ID
   

   Ersetzen Sie Folgendes:

   • MEMBERSHIP_NAME: Name der Mitgliedschaft des registrierten Clusters mit den Policy Controller-Einstellungen, die Sie verwenden möchten.
   • CONFIG_YAML: Fügen Sie den Pfad zur Datei apply-spec.yaml hinzu.
   • PROJECT_ID: Fügen Sie Ihre Projekt-ID hinzu.

Der Pod wird erstellt und Policy Controller beginnt mit der Prüfung und Durchsetzung von Einschränkungen.

Console

Gehen Sie folgendermaßen vor:

1. Rufen Sie in der Google Cloud Console im Abschnitt Statusverwaltung die Seite GKE Enterprise-Richtlinie auf.

   Zur Richtlinie

2. Prüfen Sie auf dem Tab Einstellungen in der Clustertabelle die Spalte Policy Controller-Status. Eine erfolgreiche Installation hat den Status Installiert check_circle.

gcloud Policy Controller

Führen Sie dazu diesen Befehl aus:

gcloud container fleet policycontroller describe --memberships=MEMBERSHIP_NAME

Eine erfolgreiche Installation zeigt membershipStates: MEMBERSHIP_NAME: policycontroller: state: ACTIVE an.

gcloud-ConfigManagement

Führen Sie dazu diesen Befehl aus:

gcloud beta container fleet config-management status \
    --project=PROJECT_ID

Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts.

Die Ausgabe sollte in etwa wie im folgenden Beispiel aussehen:

Name          Status  Last_Synced_Token  Sync_Branch  Last_Synced_Time      Policy_Controller
CLUSTER_NAME  SYNCED  a687c2c            1.0.0        2021-02-17T00:15:55Z  INSTALLED

Eine erfolgreiche Installation hat in der Spalte "Policy Controller" den Status INSTALLED.

Console

Gehen Sie folgendermaßen vor:

1. Rufen Sie in der Google Cloud Console im Abschnitt Statusverwaltung die Seite GKE Enterprise-Richtlinie auf.

   Zur Richtlinie

2. Wählen Sie auf dem Tab Einstellungen in der Clustertabelle die Zahl aus, die in der Spalte Installierte Pakete aufgeführt ist. Im Bereich Richtlinieninhaltsstatus hat eine erfolgreiche Installation der Vorlagenbibliothek den Status Installiert check_circle.

gcloud

Führen Sie dazu diesen Befehl aus:

kubectl get constrainttemplates

Die Ausgabe sollte in etwa wie im folgenden Beispiel aussehen:

NAME                                      AGE
k8sallowedrepos                           84s
k8scontainerlimits                        84s
k8spspallowprivilegeescalationcontainer   84s
...[OUTPUT TRUNCATED]...

Wenn eine Einschränkungsvorlage korrekt installiert ist, ist dessen status.created-Feld true.

Console

1. Rufen Sie in der Google Cloud Console die Seite Feature Manager auf.

   Zu Feature Manager

2. Klicken Sie im Bereich Richtlinie auf Konfigurieren.

3. Einstellungen auf Flottenebene überprüfen. Alle neuen Cluster, die Sie bei der Flotte registrieren, übernehmen diese Einstellungen.

4. Optional: Klicken Sie zum Ändern der Standardeinstellungen auf Flotteneinstellungen anpassen. Führen Sie im angezeigten Dialogfeld die folgenden Schritte aus:

   1. Klicken Sie im Abschnitt Richtlinien-Bundles hinzufügen/bearbeiten auf die entsprechende Ein-/Aus-Schaltfläche, um ein Richtlinien-Bundle ein- oder auszuschließen.
   2. Führen Sie im Abschnitt Policy Controller-Konfiguration bearbeiten folgende Schritte aus:
      1. Klicken Sie das Kästchen Mutations-Webhook aktivieren an, um den Mutations-Webhook zu aktivieren. Dieses Feature ist nicht mit Autopilot-Clustern kompatibel.
      2. Geben Sie im Feld Auditintervall den Zeitraum in Sekunden zwischen zwei aufeinanderfolgenden Audits ein.
      3. Geben Sie im Feld Ausnahmefähige Namespaces eine Liste von Namespaces ein. Policy Controller ignoriert Objekte in diesen Namespaces.
      4. Wenn Sie referenzielle Einschränkungen aktivieren möchten, klicken Sie das Kästchen Einschränkungsvorlagen aktivieren, die auf andere Objekte als das derzeit evaluierte verweisen an.
      5. Wählen Sie in der Liste Version die Policy Controller-Version aus, die Sie verwenden möchten.
   3. Klicken Sie auf Änderungen speichern.

5. Klicken Sie auf Konfigurieren.

6. Klicken Sie im Dialogfeld zur Bestätigung auf Bestätigen. Wenn Sie Policy Controller noch nicht aktiviert haben, wird durch Klicken auf Bestätigen die anthospolicycontroller.googleapis.com API aktiviert.

7. Optional: Synchronisieren Sie vorhandene Cluster mit den Standardeinstellungen:

   1. Wählen Sie in der Liste Cluster in der Flotte die Cluster aus, die Sie synchronisieren möchten.
   2. Klicken Sie auf Mit Flotteneinstellungen synchronisieren und im angezeigten Bestätigungsdialogfeld auf Bestätigen. Dies kann einige Minuten dauern.

gcloud

1. Erstellen Sie eine Datei mit dem Namen fleet-default.yaml, die die Standardkonfigurationen für den Policy Controller enthält. Das Feld installSpec ist erforderlich, um Standardeinstellungen auf Flottenebene zu aktivieren. Dieses Beispiel zeigt die Optionen, die Sie konfigurieren können:

   # cat fleet-default.yaml
   
    policyControllerHubConfig:
     installSpec: INSTALL_SPEC_ENABLED 
     # Uncomment to set default deployment-level configurations.
     # deploymentConfigs:
     #   admission:
     #     containerResources:
     #       limits:
     #        cpu: 1000m
     #         memory: 8Gi
     #       requests:
     #         cpu: 500m
     #         memory: 4Gi
     # Uncomment to set policy bundles that you want to install by default.
     # policyContent:
     #   bundles:
     #     cis-k8s-v1.5.1:
     #       exemptedNamespaces:
     #       - "namespace-name"
     # Uncomment to exempt namespaces from admission.
     # exemptableNamespaces:
     # - "namespace-name"
     # Uncomment to enable support for referential constraints
     # referentialRulesEnabled: true
     # Uncomment to disable audit, adjust value to set audit interval
     # auditIntervalSeconds: 0
     # Uncomment to log all denies and dryrun failures
     # logDeniesEnabled: true
     # Uncomment to enable mutation
     # mutationEnabled: true
     # Uncomment to adjust the value to set the constraint violation limit
     # constraintViolationLimit: 20
     # ... other fields ...
   

2. Wenden Sie die Standardkonfiguration auf Ihre Flotte an:

   gcloud container fleet policycontroller enable \
     --fleet-default-member-config=fleet-default.yaml
   

3. Führen Sie den folgenden Befehl aus, um zu prüfen, ob die Konfiguration angewendet wurde:

   gcloud container fleet policycontroller describe
   

4. Führen Sie den folgenden Befehl aus, um die Standardkonfiguration auf Flottenebene zu entfernen:

   gcloud container fleet policycontroller enable \
     --no-fleet-default-member-config
   

Console

1. Rufen Sie in der Google Cloud Console im Abschnitt Statusverwaltung die Seite GKE Enterprise-Richtlinie auf.

   Zur Richtlinie

2. Wählen Sie auf dem Tab Einstellungen neben dem Cluster, dessen Version Sie aktualisieren möchten, edit Konfiguration bearbeiten aus.
3. Maximieren Sie das Menü Policy Controller-Konfiguration bearbeiten.
4. Wählen Sie in der Drop-down-Liste Version die Version aus, auf die Sie aktualisieren möchten.
5. Klicken Sie auf Änderungen speichern.

gcloud

Führen Sie dazu diesen Befehl aus:

gcloud container fleet policycontroller update \
  --version=VERSION \
  --memberships=MEMBERSHIP_NAME

Dabei gilt:

• VERSION: Version, auf die Sie ein Upgrade ausführen möchten.
• MEMBERSHIP_NAME: Name der Mitgliedschaft, den Sie bei der Registrierung Ihres Clusters ausgewählt haben. Sie ermitteln den Namen der Mitgliedschaft durch Ausführen von gcloud container fleet memberships list.

Console

Führen Sie die folgenden Aufgaben aus, um Policy Controller in Ihren Clustern zu deaktivieren:

1. Rufen Sie in der Google Cloud Console im Abschnitt Statusverwaltung die Seite GKE Enterprise-Richtlinie auf.

   Zur Richtlinie

2. Wählen Sie auf dem Tab Einstellungen in der Clustertabelle in der Spalte Konfiguration bearbeiten die Option Bearbeiten edit aus.
3. Scrollen Sie im Clusterbereich nach unten und maximieren Sie das Menü Informationen zu Policy Controller.
4. Wählen Sie Policy Controller deinstallieren aus.
5. Bestätigen Sie die Deinstallation. Folgen Sie dazu der Anleitung im Bestätigungsdialogfeld und wählen Sie Bestätigen aus.

Wenn Policy Controller deinstalliert ist, wird in den Statusspalten Nicht installiert do_not_disturb_on angezeigt.

gcloud Policy Controller

Führen Sie folgenden Befehl aus, um Policy Controller zu deinstallieren:

gcloud container fleet policycontroller disable \
  --memberships=MEMBERSHIP_NAME

Ersetzen Sie MEMBERSHIP_NAME durch den Mitgliedschaftsnamen des registrierten Clusters, für den Policy Controller deaktiviert werden soll. Sie können mehrere Mitgliedschaften durch Kommas getrennt angeben.

gcloud-ConfigManagement

So deinstallieren Sie Policy Controller:

1. Bearbeiten Sie die Konfiguration des ConfigManagement Operator in der Datei apply-spec.yaml und setzen Sie policyController.enabled auf false.

2. Wenden Sie die Änderungen in der Datei apply-spec.yaml an:

    gcloud beta container fleet config-management apply \
        --membership=CLUSTER_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   Dabei gilt:

   • CLUSTER_NAME: Fügen Sie den registrierten Cluster hinzu, auf den Sie diese Konfiguration anwenden möchten.
   • CONFIG_YAML: Fügen Sie den Pfad zur Datei apply-spec.yaml hinzu.
   • PROJECT_ID: Fügen Sie Ihre Projekt-ID hinzu.