Menginstal Pengontrol Kebijakan

Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Konsol

Untuk menginstal Pengontrol Kebijakan di konsol Google Cloud , selesaikan langkah-langkah berikut:

1. Di Google Cloud konsol, buka halaman Policy GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Klik add Configure Policy Controller.

3. Opsional: Untuk mengubah setelan armada default, klik Sesuaikan setelan armada. Pada dialog yang muncul, lakukan hal berikut:

   1. Di bagian Tambahkan/Edit paket kebijakan, sertakan atau kecualikan paket kebijakan dengan mengklik tombol yang relevan.

   2. Di bagian Edit Policy Controller configuration, lakukan hal berikut:

      1. Untuk mengaktifkan mutation webhook, centang kotak Enable mutation webhook. Fitur ini tidak kompatibel dengan cluster Autopilot.
      2. Di kotak Interval audit, masukkan periode dalam detik antara dua audit berturut-turut.

      3. Di kotak Namespace yang dapat dikecualikan, masukkan daftar namespace. Pengontrol Kebijakan mengabaikan objek dalam namespace ini.

         Praktik terbaik:

         Mengecualikan namespace sistem untuk menghindari error di lingkungan Anda. Anda dapat menemukan petunjuk untuk mengecualikan namespace dan daftar namespace umum yang dibuat oleh layanan Google Cloud di halaman Exclude namespaces.

      4. Untuk mengaktifkan batasan referensi, pilih kotak centang Aktifkan Template Batasan yang merujuk ke objek selain objek yang sedang dievaluasi.

      5. Dalam daftar Version, pilih versi Policy Controller yang ingin Anda gunakan.

   3. Klik Simpan perubahan.

4. Klik Configure.

5. Pada dialog konfirmasi, klik Confirm. Jika Anda belum mengaktifkan Pengontrol Kebijakan sebelumnya, mengklik Konfirmasi akan mengaktifkan anthospolicycontroller.googleapis.com API dan menginstal Pengontrol Kebijakan di cluster Anda.

6. Opsional: Sinkronkan cluster yang ada ke setelan default:

   1. Di tab Setelan, klik Sinkronkan ke setelan armada.
   2. Dalam daftar Clusters in the fleet, pilih cluster yang ingin Anda sinkronkan, lalu klik Sync to fleet settings. Operasi ini dapat memerlukan waktu beberapa menit untuk selesai.

Anda akan dialihkan ke tab Setelan Pengontrol Kebijakan. Saat Pengontrol Kebijakan diinstal dan dikonfigurasi di cluster Anda, kolom status akan menampilkan Diinstal check_circle. Proses ini dapat memerlukan waktu beberapa menit.

gcloud

Aktifkan Pengontrol Kebijakan dengan menjalankan perintah berikut:

gcloud container fleet policycontroller enable \
    --memberships=MEMBERSHIP_NAME

Anda dapat menetapkan kolom tambahan untuk mengonfigurasi Pengontrol Kebijakan. Misalnya, Anda mungkin ingin memberi tahu Pengontrol Kebijakan untuk mengecualikan beberapa namespace dari penerapan. Untuk mengetahui daftar lengkap kolom yang dapat Anda konfigurasi, lihat dokumentasi Google Cloud CLI Pengontrol Kebijakan atau jalankan gcloud container fleet policycontroller enable --help.

Tetapkan setelan tingkat armada untuk Pengontrol Kebijakan dengan menyelesaikan langkah-langkah berikut:

1. Buat file bernama fleet-default.yaml yang berisi konfigurasi default untuk Pengontrol Kebijakan. Kolom installSpec wajib diisi untuk mengaktifkan default tingkat armada. Contoh ini menunjukkan opsi yang dapat Anda konfigurasi:

   # cat fleet-default.yaml
   
    policyControllerHubConfig:
     installSpec: INSTALL_SPEC_ENABLED 
     # Uncomment to set default deployment-level configurations.
     # deploymentConfigs:
     #   admission:
     #     containerResources:
     #       limits:
     #        cpu: 1000m
     #         memory: 8Gi
     #       requests:
     #         cpu: 500m
     #         memory: 4Gi
     # Uncomment to set policy bundles that you want to install by default.
     # policyContent:
     #   bundles:
     #     cis-k8s-v1.5.1:
     #       exemptedNamespaces:
     #       - "namespace-name"
     # Uncomment to exempt namespaces from admission.
     # exemptableNamespaces:
     # - "namespace-name"
     # Uncomment to enable support for referential constraints
     # referentialRulesEnabled: true
     # Uncomment to disable audit, adjust value to set audit interval
     # auditIntervalSeconds: 0
     # Uncomment to log all denies and dryrun failures
     # logDeniesEnabled: true
     # Uncomment to enable mutation
     # mutationEnabled: true
     # Uncomment to adjust the value to set the constraint violation limit
     # constraintViolationLimit: 20
     # ... other fields ...
   

   Praktik terbaik:

   Mengecualikan namespace sistem untuk menghindari error di lingkungan Anda. Anda dapat menemukan petunjuk untuk mengecualikan namespace dan daftar namespace umum yang dibuat oleh layanan Google Cloud di halaman Exclude namespaces.

2. Terapkan konfigurasi default ke fleet Anda:

   gcloud container fleet policycontroller enable \
     --fleet-default-member-config=fleet-default.yaml
   

3. Untuk memverifikasi bahwa konfigurasi telah diterapkan, jalankan perintah berikut:

   gcloud container fleet policycontroller describe
   

4. Untuk menghapus konfigurasi default tingkat armada, jalankan perintah berikut:

   gcloud container fleet policycontroller enable \
     --no-fleet-default-member-config
   

Terraform

Untuk mengaktifkan Pengontrol Kebijakan di seluruh fleet dengan library template default yang diinstal, lihat contoh berikut:

resource "google_gke_hub_feature" "policycontroller" {
  name     = "policycontroller"
  location = "global"
  project  = data.google_project.default.project_id

  fleet_default_member_config {
    policycontroller {
      policy_controller_hub_config {
        install_spec = "INSTALL_SPEC_ENABLED"
        policy_content {
          bundles {
            bundle = "pss-baseline-v2022"
          }
          template_library {
            installation = "ALL"
          }
        }
      }
    }
  }
}

Anda dapat meneruskan beberapa blok bundle untuk menginstal paket apa pun yang tercantum dalam Ringkasan paket Pengontrol Kebijakan.

Untuk mempelajari lebih lanjut cara menggunakan Terraform, lihat Dukungan Terraform untuk Pengontrol Kebijakan.

Konsol

Selesaikan langkah-langkah berikut:

1. Di Google Cloud konsol, buka halaman Policy GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Settings, di tabel cluster, periksa kolom Policy controller status. Penginstalan yang berhasil memiliki status Diinstal check_circle.

gcloud

Jalankan perintah berikut:

gcloud container fleet policycontroller describe --memberships=MEMBERSHIP_NAME

Penginstalan yang berhasil akan menampilkan membershipStates: MEMBERSHIP_NAME: policycontroller: state: ACTIVE.

Konsol

Selesaikan langkah-langkah berikut:

1. Di Google Cloud konsol, buka halaman Policy GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Settings, di tabel cluster, pilih nomor yang tercantum di kolom Bundles installed. Di panel Status konten kebijakan, penginstalan library template yang berhasil akan memiliki status Terinstal check_circle.

gcloud

Jalankan perintah berikut:

kubectl get constrainttemplates

Anda akan melihat output yang mirip dengan contoh berikut ini:

NAME                                      AGE
k8sallowedrepos                           84s
k8scontainerlimits                        84s
k8spspallowprivilegeescalationcontainer   84s
...[OUTPUT TRUNCATED]...

Jika setiap template batasan diinstal dengan benar, kolom status.created-nya adalah true.

Konsol

1. Di Google Cloud konsol, buka halaman Policy GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di samping cluster yang versinya ingin Anda upgrade, pilih edit Edit konfigurasi.
3. Luaskan menu Edit Policy Controller configuration.
4. Dari menu drop-down Version, pilih versi yang ingin Anda upgrade.
5. Klik Simpan perubahan.

gcloud

Jalankan perintah berikut:

gcloud container fleet policycontroller update \
  --version=VERSION \
  --memberships=MEMBERSHIP_NAME

Ganti kode berikut:

• VERSION: versi yang ingin Anda upgrade
• MEMBERSHIP_NAME: nama keanggotaan yang Anda pilih saat mendaftarkan cluster. Anda dapat menemukan nama langganan dengan menjalankan gcloud container fleet memberships list.

Konsol

Untuk menonaktifkan Pengontrol Kebijakan di cluster Anda, selesaikan tugas berikut:

1. Di Google Cloud konsol, buka halaman Policy GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di tabel cluster, pilih Edit edit di kolom Edit configuration.
3. Di panel cluster, luaskan menu About Policy Controller.
4. Pilih Uninstal Policy Controller.
5. Konfirmasi penguninstalan dengan mengikuti petunjuk dalam dialog konfirmasi dan memilih Konfirmasi.

Saat Pengontrol Kebijakan di-uninstal, kolom status akan menampilkan Tidak diinstal do_not_disturb_on.

gcloud

Untuk meng-uninstal Pengontrol Kebijakan, jalankan perintah berikut:

gcloud container fleet policycontroller disable \
  --memberships=MEMBERSHIP_NAME

Ganti MEMBERSHIP_NAME dengan nama keanggotaan cluster terdaftar untuk menonaktifkan Pengontrol Kebijakan. Anda dapat menentukan beberapa keanggotaan yang dipisahkan dengan koma.