安装 Policy Controller

控制台

如需在 Google Cloud 控制台中安装 Policy Controller，请完成以下步骤：

1. 在 Google Cloud 控制台中，前往安全状况管理部分下的政策页面。

   前往“政策”

2. 点击 add 配置 Policy Controller。

3. 可选：如需更改默认舰队设置，请点击自定义舰队设置。在显示的对话框中，执行以下操作：

   1. 在添加/修改政策包部分，点击相关切换开关以包含或排除政策包。

   2. 在修改 Policy Controller 配置部分，执行以下操作：

      1. 如需启用变更 webhook，请勾选启用变更 webhook 复选框。此功能与 Autopilot 集群不兼容。
      2. 在审核时间间隔框中，输入两次连续审核之间的间隔时长（以秒为单位）。

      3. 在可豁免的命名空间框中，输入命名空间列表。Policy Controller 会忽略这些命名空间中的对象。 此功能与 Autopilot 集群不兼容。

         最佳实践：

         豁免系统命名空间，以避免环境中出现错误。您可以在“排除命名空间”页面上找到豁免命名空间的说明以及由 Google Cloud 服务创建的常见命名空间的列表。

      4. 如需启用参照限制条件，请勾选启用引用了并非当前正在评估的对象的限制条件模板复选框。

      5. 在版本列表中，选择要使用的 Policy Controller 版本。

   3. 点击保存更改。

4. 点击配置。

5. 在确认对话框中，点击确认。 如果您之前未启用 Policy Controller，点击确认将会启用 anthospolicycontroller.googleapis.com API 并在您的集群上安装 Policy Controller。

6. 可选：将现有集群同步到默认设置：

   1. 在设置标签页中，点击同步到舰队设置。
   2. 在舰队中的集群列表中，选择要同步的集群，然后点击同步到舰队设置。此操作可能需要几分钟才能完成。

系统会将您重定向至 Policy Controller 设置标签页。在集群上安装并配置 Policy Controller 后，状态列将显示已安装 check_circle。此过程可能耗时几分钟。

gcloud

通过运行以下命令启用 Policy Controller：

gcloud container fleet policycontroller enable \
    --memberships=MEMBERSHIP_NAME

您可以设置其他字段来配置 Policy Controller。例如，您可能希望指示 Policy Controller 豁免某些命名空间的强制执行。 如需查看您可以配置的字段的完整列表，请参阅 Policy Controller Google Cloud CLI 文档或运行 gcloud container fleet policycontroller enable --help。

如需为 Policy Controller 设置舰队级设置，请完成以下步骤：

1. 创建一个名为 fleet-default.yaml 的文件，其中包含 Policy Controller 的默认配置。如需启用舰队级默认设置，则必须提供 installSpec 字段。下面的示例显示了您可以配置的选项：

   # cat fleet-default.yaml
   
    policyControllerHubConfig:
     installSpec: INSTALL_SPEC_ENABLED 
     # Uncomment to set default deployment-level configurations.
     # deploymentConfigs:
     #   admission:
     #     containerResources:
     #       limits:
     #         cpu: 1000m
     #         memory: 8Gi
     #       requests:
     #         cpu: 500m
     #         memory: 4Gi
     # Uncomment to set policy bundles that you want to install by default.
     # policyContent:
     #   bundles:
     #     cis-k8s-v1.5.1:
     #       exemptedNamespaces:
     #       - "namespace-name"
     # Uncomment to exempt namespaces from admission.
     # exemptableNamespaces:
     # - "namespace-name"
     # Uncomment to enable support for referential constraints
     # referentialRulesEnabled: true
     # Uncomment to disable audit, adjust value to set audit interval
     # auditIntervalSeconds: 0
     # Uncomment to log all denies and dryrun failures
     # logDeniesEnabled: true
     # Uncomment to enable mutation
     # mutationEnabled: true
     # Uncomment to adjust the value to set the constraint violation limit
     # constraintViolationLimit: 20
     # ... other fields ...
   

   最佳实践：

   豁免系统命名空间，以避免环境中出现错误。您可以在“排除命名空间”页面上找到豁免命名空间的说明以及由 Google Cloud 服务创建的常见命名空间的列表。

2. 将默认配置应用于舰队：

   gcloud container fleet policycontroller enable \
     --fleet-default-member-config=fleet-default.yaml
   

3. 如需验证配置是否已应用，请运行以下命令：

   gcloud container fleet policycontroller describe
   

4. 如需移除舰队级默认配置，请运行以下命令：

   gcloud container fleet policycontroller enable \
     --no-fleet-default-member-config
   

Terraform

如需在安装了默认模板库的舰队中启用 Policy Controller，请参阅以下示例：

resource "google_gke_hub_feature" "policycontroller" {
  name     = "policycontroller"
  location = "global"
  project  = data.google_project.default.project_id

  fleet_default_member_config {
    policycontroller {
      policy_controller_hub_config {
        install_spec = "INSTALL_SPEC_ENABLED"
        policy_content {
          bundles {
            bundle = "pss-baseline-v2022"
          }
          template_library {
            installation = "ALL"
          }
        }
      }
    }
  }
}

您可以传递多个 bundle 块来安装 Policy Controller 包概览中列出的任何包 。

如需详细了解如何使用 Terraform，请参阅针对 Policy Controller 的 Terraform 支持。

控制台

请完成以下步骤：

1. 在 Google Cloud 控制台中，前往安全状况管理部分下的政策页面。

   前往“政策”

2. 在设置标签页下的集群表中，检查 Policy Controller 状态列。成功安装的状态为已安装 check_circle。

gcloud

运行以下命令：

gcloud container fleet policycontroller describe --memberships=MEMBERSHIP_NAME

安装成功后会显示 membershipStates: MEMBERSHIP_NAME: policycontroller: state: ACTIVE。

控制台

请完成以下步骤：

1. 在 Google Cloud 控制台中，前往安全状况管理部分下的政策页面。

   前往“政策”

2. 在设置标签页下的集群表中，选择已安装的软件包列中列出的数字。在政策内容状态窗格中，成功的模板库安装的状态为已安装 check_circle。

gcloud

运行以下命令：

kubectl get constrainttemplates

您应该会看到类似于以下示例的输出：

NAME                                      AGE
k8sallowedrepos                           84s
k8scontainerlimits                        84s
k8spspallowprivilegeescalationcontainer   84s
...[OUTPUT TRUNCATED]...

正确安装单个限制条件模板后，其 status.created 字段为 true。

控制台

1. 在 Google Cloud 控制台中，前往安全状况管理部分下的政策页面。

   前往“政策”

2. 在设置标签页下您要升级版本的集群旁边，选择 edit 修改配置。
3. 展开修改 Policy Controller 配置菜单。
4. 从版本下拉列表中，选择您要升级到的版本。
5. 点击保存更改。

gcloud

运行以下命令：

gcloud container fleet policycontroller update \
  --version=VERSION \
  --memberships=MEMBERSHIP_NAME

替换以下内容：

• VERSION：要升级到的版本
• MEMBERSHIP_NAME：您在注册集群时选择的成员资格名称。您可以通过运行 gcloud container fleet memberships list 找到成员资格名称。

控制台

如需为集群停用政策控制器，请完成以下任务：

1. 在 Google Cloud 控制台中，前往安全状况管理部分下的政策页面。

   前往“政策”

2. 在设置标签页下的集群表中，选择修改配置列中的修改 edit。
3. 在集群窗格中，展开 Policy Controller 简介菜单。
4. 选择卸载 Policy Controller。
5. 按照确认对话框中的说明操作并选择确认，以确认卸载。

卸载 Policy Controller 后，状态列显示未安装 do_not_disturb_on。

gcloud

如需卸载 Policy Controller，请运行以下命令：

gcloud container fleet policycontroller disable \
  --memberships=MEMBERSHIP_NAME

将 MEMBERSHIP_NAME 替换为要停用 Policy Controller 的已注册集群的成员资格名称。您可以指定多个成员资格（以英文逗号分隔）。