בדף הזה מוסבר איך להגדיר מרחבי שמות פטורים ב-Policy Controller.
מרחבי שמות פטורים מסירים מרחב שמות מאכיפת webhook של קבלה באמצעות Policy Controller, אבל כל ההפרות עדיין מדווחות בביקורת. אם לא מגדירים מרחבי שמות, רק מרחב השמות gatekeeper-system מוגדר מראש כפטור מאכיפת ה-webhook של בקרת הגישה של Policy Controller.
הגדרת מרחבי שמות פטורים
כשמגדירים מרחב שמות שניתן להחריג, חלה עליו התווית admission.gatekeeper.sh/ignore, שמחריגה את מרחב השמות מאכיפת ה-webhook של בקרת הגישה של Policy Controller. אם תסירו בהמשך מרחב שמות שניתן להחריג, Policy Controller לא יסיר את התווית admission.gatekeeper.sh/ignore ממרחב השמות.
מתן פטור למרחבי שמות מאכיפה
אפשר להחריג מרחבי שמות במהלך ההתקנה של Policy Controller או אחרי ההתקנה. התהליך הבא מראה איך להחריג מרחבי שמות אחרי ההתקנה.
המסוף
- במסוף Google Cloud , נכנסים לדף Policy בקטע Posture Management.
- בכרטיסייה Settings, בטבלת האשכולות, לוחצים על Edit edit בעמודה Edit configuration.
- מרחיבים את התפריט Edit Policy Controller configuration.
- בשדה Exempt namespaces, מזינים רשימה של מרחבי שמות תקינים. המערכת מתעלמת מאובייקטים במרחבי השמות האלה בכל כללי המדיניות. מרחבי השמות לא חייבים להיות קיימים עדיין.
- לוחצים על שמירת השינויים.
gcloud
כדי להוסיף מרחבי שמות לרשימת מרחבי השמות שעשויים להיות פטורים מאכיפה על ידי ה-webhook של ה-admission, מריצים את הפקודה הבאה:
gcloud container fleet policycontroller update \
--memberships=MEMBERSHIP_NAME \
--exemptable-namespaces=NAMESPACE_LIST
מחליפים את מה שכתוב בשדות הבאים:
-
MEMBERSHIP_NAME: שם המינוי של האשכול הרשום שבו רוצים להחריג מרחבי שמות. אפשר לציין כמה מינויים, מופרדים בפסיקים. -
NAMESPACE_LIST: רשימה מופרדת בפסיקים של מרחבי שמות שרוצים ש-Policy Controller יחריג מהאכיפה.
הפקודה הזו פוטרת משאבים רק מ-webhook של אישור. המשאבים עדיין נבדקים. כדי להחריג מרחבי שמות מביקורת, מגדירים את הפטור ברמת חבילת המדיניות:
gcloud container fleet policycontroller content bundles set BUNDLE_NAME \
--memberships=MEMBERSHIP_NAME \
--exempted-namespaces=NAMESPACE_LIST
מחליפים את מה שכתוב בשדות הבאים:
-
BUNDLE_NAMEבשם של חבילת המדיניות שרוצים לעדכן עם מרחבי השמות הפטורים. -
MEMBERSHIP_NAME: שם המינוי של האשכול הרשום שבו רוצים להחריג מרחבי שמות. אפשר לציין כמה מינויים, מופרדים בפסיקים. -
NAMESPACE_LIST: רשימה מופרדת בפסיקים של מרחבי שמות שרוצים ש-Policy Controller יחריג מהאכיפה.
מרחבי שמות שפטורים מאכיפה
הרשימה הבאה מציגה מרחבי שמות נפוצים של המערכת, שאולי תרצו להחריג מהאכיפה כדי למנוע התנהגות לא מכוונת, כמו חסימת שדרוגים. זו רשימה חלקית בלבד:
- anthos-creds
- anthos-identity-service
- apigee
- apigee-system
- asm-system
- capi-kubeadm-bootstrap-system
- capi-system
- cert-manager
- cnrm-system
- config-management-monitoring
- config-management-system
- gke-connect
- gke-gmp-system
- gke-managed-cim
- gke-managed-filestorecsi
- gke-managed-metrics-server
- gke-managed-system
- gke-system
- gmp-public
- gmp-system
- hnc-system
- istio-system
- kube-node-lease
- kube-public
- kube-system
- poco-trial
- resource-group-system
- vm-system
- krmapihosting-system
- krmapihosting-monitoring