本頁面由 Cloud Translation API 翻譯而成。

使用「費用和可靠性」政策限制

Policy Controller 隨附預設的限制範本庫，可以與成本和可靠性政策套裝組合搭配使用，協助採用最佳做法，以經濟實惠的方式執行 GKE 叢集，同時確保工作負載的效能或可靠性。

本頁說明如何手動套用政策組合。或者，您也可以直接套用政策組合。

成本和可靠性政策組合限制

限制名稱	限制說明
cost-reliability-v2023-pod-disruption-budget	您必須為 Deployment、ReplicaSet、StatefulSet 和 ReplicationController 設定 PodDisruptionBudget。
cost-reliability-v2023-pod-resources-best-practices	要求容器設定資源要求，並遵循最佳做法。
cost-reliability-v2023-required-labels	要求所有 Pod 和控制器 (ReplicaSet、Deployment、StatefulSet 和 DaemonSet) 必須具備必要的標籤：環境、團隊和應用程式。
cost-reliability-v2023-restrict-repos	將容器映像檔限制在允許的存放區清單中，使用 Artifact Registry 即可享有映像檔串流功能。
cost-reliability-v2023-spotvm-termination-grace	如果 Pod 和 Pod 範本的 nodeSelector 或 nodeAfffinty 適用於 gke-spot，則須將 terminationGracePeriodSeconds 設為 15 秒以下。

事前準備

安裝並初始化 Google Cloud CLI，其中提供這些操作說明中使用的 gcloud 和 kubectl 指令。如果您使用 Cloud Shell，Google Cloud CLI 會預先安裝。
在叢集上安裝 Policy Controller，並使用預設的限制範本庫。此外，您也必須啟用對參照限制條件的支援，因為這個套件含有參照限制條件。

設定 Policy Controller 的參照限制

將下列 YAML 資訊清單儲存為 policycontroller-config.yaml 檔案。資訊清單會設定 Policy Controller，監控特定種類的物件。

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: ""
        version: "v1"
        kind: "Service"
      - group: "policy"
        version: "v1"
        kind: "PodDisruptionBudget"

套用 policycontroller-config.yaml 資訊清單：
```
kubectl apply -f policycontroller-config.yaml
```

設定叢集和工作負載

service 選取的任何 pod 都必須包含就緒探查。
所有 deployment、replicaset、statefulset 和 replicationcontroller 都必須包含 poddisruptionbudget。
所有容器都應包含 cpu 和 memory 要求，且 memory 限制等於 memory 要求，並遵循最佳做法。
為所有 Pod 和 Pod 範本新增 environment、team 和 app 標籤。
在與叢集相同的區域中，使用 Artifact Registry 代管容器映像檔，啟用映像檔串流。按照cost-reliability-v2023-restrict-repos中的範例，允許相關的 Artifact Registry。
使用 gke-spot 的所有 Pod 和 Pod 範本都必須包含 terminationGracePeriodSeconds，且長度不得超過 15 秒。

稽核「成本和可靠性」政策套裝組合

您可以透過 Policy Controller，對 Kubernetes 叢集強制執行政策。如要測試工作負載是否符合上表列出的成本和可靠性政策，您可以「稽核」模式部署這些限制，找出違規事項，更重要的是，在 Kubernetes 叢集強制執行前修正這些問題。

您可以使用 kubectl、kpt 或 Config Sync，將 spec.enforcementAction 設為 dryrun，套用這些政策。

kubectl

(選用) 使用 kubectl 預覽政策限制：

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023

使用 kubectl 套用政策限制：

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023

輸出內容如下：

gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace created
k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos created
k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget created
k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices created
k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels created

確認已安裝政策限制，並檢查叢集是否發生違規情形：

kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023

輸出結果會與下列內容相似：

NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
gkespotvmterminationgrace.constraints.gatekeeper.sh/cost-reliability-v2023-spotvm-termination-grace   dryrun               0

NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spodresourcesbestpractices.constraints.gatekeeper.sh/cost-reliability-v2023-pod-resources-best-practices   dryrun               0

NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spoddisruptionbudget.constraints.gatekeeper.sh/cost-reliability-v2023-pod-disruption-budget   dryrun               0

NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sallowedrepos.constraints.gatekeeper.sh/cost-reliability-v2023-restrict-repos   dryrun               0

NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredlabels.constraints.gatekeeper.sh/cost-reliability-v2023-required-labels   dryrun               0

KPT

安裝及設定 kpt。

這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

使用 kpt 從 GitHub 下載 PCI-DSS v3.2.1 政策套裝組合：

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

kpt fn eval cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
-- enforcementAction=dryrun

使用 kpt 初始化工作目錄，這會建立資源來追蹤變更：
```
cd cost-reliability-v2023 kpt live init
```
使用 kpt 套用政策限制：
```
kpt live apply
```
確認已安裝政策限制，並檢查叢集是否發生違規情形：
```
kpt live status --output table --poll-until current
```
如果狀態為 CURRENT，表示限制條件已成功安裝。

Config Sync

安裝及設定 kpt。

這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：
變更為 Config Sync 的同步目錄：
```
cd SYNC_ROOT_DIR
```
注意： Kpt v1.0.0-beta.17 以上版本會在 live init 期間自動建立 resourcegroup.yaml 檔案，不應將該檔案簽入 Config Sync 存放區。如果沒有，請將 resourcegroup.yaml 新增至存放區的 .gitignore 檔案。

如要建立或附加 .gitignore (使用 resourcegroup.yaml)：
```
echo resourcegroup.yaml >> .gitignore
```
建立專屬的 policies 目錄：
```
mkdir -p policies
```

使用 kpt 從 GitHub 下載「成本與可靠性」政策套裝組合：

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cost-reliability-v2023 policies/cost-reliability-v2023

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

(選用) 預覽要建立的政策限制：

kpt live init policies/cost-reliability-v2023
kpt live apply --dry-run policies/cost-reliability-v2023

如果 Config Sync 的同步目錄使用 Kustomize，請將 policies/cost-reliability-v2023 新增至根目錄 kustomization.yaml。否則請移除 policies/cost-reliability-v2023/kustomization.yaml 檔案：
```
rm SYNC_ROOT_DIR/policies/cost-reliability-v2023/kustomization.yaml
```

將變更推送至 Config Sync 存放區：

git add SYNC_ROOT_DIR/policies/cost-reliability-v2023 git commit -m 'Adding Cost and Reliability policy audit enforcement'
git push

驗證安裝狀態：

watch gcloud beta container fleet config-management status --project PROJECT_ID

如果狀態為 SYNCED，表示政策已安裝完成。

查看政策違規事項

以稽核模式安裝政策限制後，您可以使用 Policy Controller 資訊主頁，在 UI 中查看叢集的違規情形。

您也可以使用 kubectl，透過下列指令查看叢集上的違規事項：

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

如有違規事項，您可以透過下列方式查看每個限制的違規訊息清單：

  kubectl get constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

變更「成本和可靠性」政策組合的違規處置

審查叢集中的政策違規事項後，您可以考慮變更強制執行模式，讓 Admission Controller warn 或 deny 阻止不符規定的資源套用至叢集。

kubectl

使用 kubectl 將政策的強制執行動作設為 warn：

kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

確認政策限制強制執行動作已更新：

kubectl get constraints -l policycontroller.gke.io/bundleName=cost-reliability-v2023

KPT

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

套用政策限制：
```
kpt live apply
```

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

變更為 Config Sync 的同步目錄：
```
cd SYNC_ROOT_DIR
```

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

kpt fn eval policies/cost-reliability-v2023 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

將變更推送至 Config Sync 存放區：

git add SYNC_ROOT_DIR/policies/cost-reliability-v2023
git commit -m 'Adding Cost and Reliability policy bundle warn enforcement'
git push

驗證安裝狀態：
```
nomos status
```
叢集應顯示 SYNCED 狀態，並列出已安裝的政策。

測試政策強制執行

使用下列指令在叢集上建立不符規定的資源：

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

准入控制器應會產生警告，列出這項資源違反的政策，如下列範例所示：

Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <cpu> request.
Warning: [cost-reliability-v2023-pod-resources-best-practices] Container <wordpress> must set <memory> request.
Warning: [cost-reliability-v2023-required-labels] This app is missing one or more required labels: `environment`, `team`, and `app`.
Warning: [cost-reliability-v2023-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

移除「成本和可靠性」政策組合

如有需要，可以從叢集移除「成本和可靠性」政策套裝組合。

kubectl

使用 kubectl 移除政策：

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cost-reliability-v2023

KPT

移除政策：

  kpt live destroy

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

將變更推送至 Config Sync 存放區：

git rm -r SYNC_ROOT_DIR/policies/cost-reliability-v2023
git commit -m 'Removing Cost and Reliability policies'
git push

確認狀態：
```
nomos status
```
叢集應會顯示 SYNCED 狀態，且資源已移除。

使用「費用和可靠性」政策限制 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

成本和可靠性政策組合限制

事前準備

設定 Policy Controller 的參照限制

設定叢集和工作負載

稽核「成本和可靠性」政策套裝組合

kubectl

KPT

Config Sync

查看政策違規事項

變更「成本和可靠性」政策組合的違規處置

kubectl

KPT

Config Sync

測試政策強制執行

移除「成本和可靠性」政策組合

kubectl

KPT

Config Sync

使用「費用和可靠性」政策限制