kubernetes - 打开策略代理 - OPA - 如何使用 kubernetes configmap 对象中的 --config-file

Question

我正在尝试如下设置我的 OPA。

1. OPA 作为 Kubernetes 中的 sidecar 安装
2. 政策将作为 bundle 进行管理
3. OPA 政策将通过单独的服务 [ Bundle ] 进行存储和提供
4. 需要使用配置文件配置 OPA 以从外部服务获取策略
5. 配置文件将作为配置映射存储在 kubernetes 中。
6. 该配置映射需要在 --config-file 中使用

我在 kubernetes 中的配置映射

kubectl create configmap policyconfig --from-file=./config/config.yaml

我的 Sidecar OPA

 - name: opa
          image: openpolicyagent/opa:latest
          args:
            - "run"
            - "--server"
            - "--addr=0.0.0.0:443"
            - "--addr=0.0.0.0:8181"
            - "--config-file=policyconfig"
      volumes:
        - name: policyconfig
          configMap:
            name: policyconfig

请告诉我是否可以通过这种方式实现

Answer 1

您可以使用kube-mgmt作为在 Kubernetes 上管理 OPA 的 sidecar。

kube-mgmt 自动发现 Kubernetes 中 ConfigMap 中存储的策略并将其加载到 OPA 中。 kube-mgmt 假设 ConfigMap 包含策略，如果 ConfigMap 是:

1. 在 --policies 选项中列出的命名空间中创建。如果您指定 --policies=* 那么 kube-mgmt 将在所有命名空间中查找策略。
2. 带有 openpolicyagent.org/policy=rego 标签

https://medium.com/capital-one-tech/policy-enabled-kubernetes-with-open-policy-agent-3b612b3f0203

更新:

根据您当前的设置和要求，您需要添加 volumeMounts 才能使其正常工作

 - name: opa
          image: openpolicyagent/opa:latest
          args:
            - "run"
            - "--server"
            - "--addr=0.0.0.0:443"
            - "--addr=0.0.0.0:8181"
            - "--config-file=policyconfig"
          volumeMounts:
          - name: policyconfig
            mountPath: /config
      volumes:
        - name: policyconfig
          configMap:
            name: policyconfig