Excluye espacios de nombres de Policy Controller

En esta página, se describe cómo configurar espacios de nombres exentos en Policy Controller.

Los espacios de nombres exentos quitan un espacio de nombres de la aplicación del webhook de admisión con Policy Controller, pero cualquier incumplimiento se informa en la auditoría. Si no configuras ningún espacio de nombres, solo el espacio de nombres gatekeeper-system estará preconfigurado como exento de la aplicación del webhook de admisión de Policy Controller.

Configura espacios de nombres exentos

Cuando configuras un espacio de nombres que se puede eximir, se aplica la etiqueta admission.gatekeeper.sh/ignore, que exime al espacio de nombres de la aplicación del webhook de admisión de Policy Controller. Si luego quitas un espacio de nombres exento, Policy Controller no quitará la etiqueta admission.gatekeeper.sh/ignore del espacio de nombres.

Exime espacios de nombres de la aplicación

Puedes eximir los espacios de nombres durante la instalación de Policy Controller o después de ella. En el siguiente proceso, se muestra cómo eximir espacios de nombres después de la instalación.

Console

  1. En la consola de Google Cloud , ve a la página Política en la sección Administración de la postura.

    Ir a Política

  2. En la pestaña Configuración, en la tabla del clúster, selecciona Editar en la columna Editar configuración.
  3. Expande el menú Editar configuración de Policy Controller.
  4. En el campo Eximir espacios de nombres, proporciona una lista de espacios de nombres válidos. Todas las políticas ignoran los objetos de estos espacios de nombres. No es necesario que los espacios de nombres existan todavía.
  5. Selecciona Guardar cambios.

gcloud

Para agregar espacios de nombres a la lista de espacios de nombres que pueden estar exentos de la aplicación forzosa del webhook de admisión, ejecuta el siguiente comando:

  gcloud container fleet policycontroller update \
    --memberships=MEMBERSHIP_NAME \
    --exemptable-namespaces=NAMESPACE_LIST

Reemplaza lo siguiente:

  • MEMBERSHIP_NAME: Es el nombre de la membresía del clúster registrado en el que se eximirán los espacios de nombres. Puedes especificar varias membresías separadas por comas.
  • NAMESPACE_LIST: Es una lista separada por comas de los espacios de nombres que deseas que Policy Controller exima de la aplicación forzosa.

Este comando exime a los recursos solo del webhook de admisión. Los recursos se siguen auditando. Para eximir los espacios de nombres de la auditoría, establece la exención a nivel del paquete de políticas:

  gcloud container fleet policycontroller content bundles set BUNDLE_NAME \
    --memberships=MEMBERSHIP_NAME \
    --exempted-namespaces=NAMESPACE_LIST

Reemplaza lo siguiente:

  • BUNDLE_NAME por el nombre del paquete de políticas que deseas actualizar con espacios de nombres exentos.
  • MEMBERSHIP_NAME: Es el nombre de la membresía del clúster registrado en el que se eximirán los espacios de nombres. Puedes especificar varias membresías separadas por comas.
  • NAMESPACE_LIST: Es una lista separada por comas de los espacios de nombres que deseas que Policy Controller exima de la aplicación forzosa.

Espacios de nombres que se eximirán de la aplicación de medidas por incumplimiento

En la siguiente lista, se muestran los espacios de nombres comunes del sistema que tal vez quieras eximir de la aplicación de políticas para evitar comportamientos no deseados, como el bloqueo de actualizaciones. La siguiente lista no es exhaustiva:

- anthos-creds
- anthos-identity-service
- apigee
- apigee-system
- asm-system
- capi-kubeadm-bootstrap-system
- capi-system
- cert-manager
- cnrm-system
- config-management-monitoring
- config-management-system
- gke-connect
- gke-gmp-system
- gke-managed-cim
- gke-managed-filestorecsi
- gke-managed-metrics-server
- gke-managed-system
- gke-system
- gmp-public
- gmp-system
- hnc-system
- istio-system
- kube-node-lease
- kube-public
- kube-system
- poco-trial
- resource-group-system
- vm-system
- krmapihosting-system
- krmapihosting-monitoring