kubernetes - OPA Rego规则与其他规则一起检查k8s命名空间中的注释

Question

我想检查命名空间中是否存在注释，如果不能拒绝的话。我有此代码，但无法正常工作。我如何获得正确的对象路径(namespace.annotation)进行比较？

  violation[{"msg": msg, "details": {}}] {
        input.request.kind.kind == "Namespace"
        not input.review.object.metadata.annotations.hostPath
        msg := sprintf("no hostpath defined in namespace for this pod %v, [input.review.object.metadata.name])
    }

我在约束中同时指定了pod和 namespace ，因为我需要同时检查模板中的规则

spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
      - apiGroups: [""]
        kinds: ["Namespace"]

谢谢 !

Answer 1

从网守库存储库中 check out this nearly identical example。
我认为具体问题与提取注释本身的方式有关(注意，在示例中，当使用点符号时，示例使用方括号)。