Escludere gli spazi dei nomi da Policy Controller

Console

1. Nella console Google Cloud, vai alla pagina Criteri di GKE Enterprise nella sezione Gestione della conformità.

   Vai a Norme

2. Nella scheda Impostazioni, nella tabella del cluster, seleziona Modifica edit nella colonna Modifica configurazione.
3. Espandi il menu Modifica la configurazione di Policy Controller.
4. Nel campo Spazi dei nomi esenti, fornisci un elenco di spazi dei nomi validi. Gli oggetti in questi spazi dei nomi vengono ignorati da tutti i criteri. Gli spazi dei nomi non devono ancora esistere.
5. Seleziona Salva modifiche.

gcloud Policy Controller

Per aggiungere spazi dei nomi all'elenco di quelli che possono essere esentati dall'applicazione del webhook di ammissione, esegui il seguente comando:

  gcloud container fleet policycontroller update \
    --memberships=MEMBERSHIP_NAME \
    --exemptable-namespaces=[NAMESPACE_LIST]

Sostituisci quanto segue:

• MEMBERSHIP_NAME: il nome dell'appartenenza del cluster registrato per cui esentare gli spazi dei nomi. Puoi specificare più iscrizioni separate da una virgola.
• NAMESPACE_LIST: un elenco di spazi dei nomi separati da virgole da esentare dall'applicazione da parte di Policy Controller.

Questo comando esenta le risorse solo dal webhook di ammissione. Le risorse sono ancora sottoposte a controllo. Per esentare gli spazi dei nomi dal controllo, imposta invece l'esenzione a livello di bundle di criteri:

  gcloud container fleet policycontroller content bundles set BUNDLE_NAME \
    --memberships=MEMBERSHIP_NAME \
    --exempted-namespaces=[NAMESPACE_LIST]

Sostituisci quanto segue:

• BUNDLE_NAME con il nome del bundle di norme che vuoi aggiornare con gli spazi dei nomi esenti.
• MEMBERSHIP_NAME: il nome dell'appartenenza del cluster registrato per cui esentare gli spazi dei nomi. Puoi specificare più iscrizioni separate da una virgola.
• NAMESPACE_LIST: un elenco di spazi dei nomi separati da virgole da esentare dall'applicazione da parte di Policy Controller.

gcloud ConfigManagement

1. Per esentare uno spazio dei nomi dall'applicazione, aggiungi il nome dello spazio dei nomi in spec.policyController.exemptableNamespaces:

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     # Set to true to install and enable Policy Controller
     policyController:
       enabled: true
       exemptableNamespaces: ["NAMESPACE_NAME"]
   ...
   

   Sostituisci NAMESPACE_NAME con il nome dello spazio dei nomi che vuoi esentare dall'applicazione.

   Puoi anche escludere più spazi dei nomi. Ad esempio, per aggiungere gli spazi dei nomi not-applicable e also-not-applicable, devi applicare il seguente manifest:

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     # Set to true to install and enable Policy Controller
     policyController:
       enabled: true
       exemptableNamespaces: ["not-applicable","also-not-applicable"]
   ...
   

2. Applica le modifiche al file apply-spec.yaml:

    gcloud beta container fleet config-management apply \
        --membership=MEMBERSHIP_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   Sostituisci quanto segue:

   • MEMBERSHIP_NAME: aggiungi il cluster registrato a cui vuoi applicare questa configurazione. Se hai registrato il cluster nella console Google Cloud, il nome dell'appartenenza corrisponde al nome del cluster.
   • CONFIG_YAML: aggiungi il percorso del file apply-spec.yaml.
   • PROJECT_ID: aggiungi il tuo ID progetto.

3. Etichetta lo spazio dei nomi esente in modo che il webhook di ammissione di Policy Controller non ne applichi i contenuti:

   kubectl label namespace NAMESPACE_NAME "admission.gatekeeper.sh/ignore=true"
   

   Sostituisci NAMESPACE_NAME con il nome dello spazio dei nomi che vuoi esentare dall'applicazione.