第2章 ポリシーのデプロイメント
Kubernetes API は、ポリシーの定義と操作に使用されます。環境が、Kubernetes クラスターでホストされるワークロードの社内エンタープライズセキュリティー標準 (ソフトウェアエンジニアリング、セキュアエンジニアリング、回復力、セキュリティー、および規制コンプライアンスに関する標準) を満たしていることを確認するのは、お客様の責任です。
2.1. デプロイ方法
CertificatePolicy、ConfigurationPolicy、OperatorPolicy ポリシーと Gatekeeper 制約は、2 つの方法でマネージドクラスターにデプロイできます。ハブクラスターポリシーフレームワーク を使用するか、外部ツールを使用してポリシーをデプロイする ことで、マネージドラスターにポリシーをデプロイできます。以下は、各オプションの説明です。
- ハブクラスターポリシーフレームワーク
-
まず、ハブクラスター上のポリシーフレームワークを活用する方法があります。これには、ハブクラスターの
Policyオブジェクト内でポリシーと Gatekeeper 制約を定義し、PlacementとPlacementBindingを活用してポリシーのデプロイ先となるクラスターを選択することが含まれます。ポリシーフレームワークは、マネージドクラスターへのデリバリーと、ハブクラスターへのステータス集約を行います。Policyオブジェクトは、Red Hat Advanced Cluster Management for Kubernetes コンソールの Policies テーブルに表示されます。 - 外部ツールを使用したポリシーのデプロイメント
- Red Hat OpenShift GitOps などの外部ツールを使用して、ポリシーと Gatekeeper 制約をマネージドクラスターに直接デリバリーすることもできます。ポリシーは、Red Hat Advanced Cluster Management コンソールの Discovered policies テーブルに表示されます。このオプションは、設定管理ストラテジーがすでに導入されているものの、Red Hat Advanced Cluster Management ポリシーでストラテジーを補完する必要がある場合に役立ちます。
2.1.1. ポリシーデプロイメント比較表
各オプションがサポートしている機能を確認するには、次の比較表を参照してください。ユースケースに適したデプロイメントストラテジーを選択するために役立ちます。
| 機能 | ポリシーフレームワーク | 外部ツールでデプロイ |
|---|---|---|
| ハブクラスターのテンプレーティング | はい | いいえ |
| マネージドクラスターのテンプレーティング | はい | はい |
| Red Hat Advanced Cluster Management コンソールのサポート | はい | はい。外部ツールを使用してデプロイされたポリシーは、Discover policies テーブルに表示されます。外部ツールを使用してデプロイされたポリシーは、Governance Overview ダッシュボードには表示されません。マネージドクラスターで検索を有効にする必要があります。 |
| ポリシーのグループ化 |
はい。 |
外部ツールを使用してデプロイした場合、ポリシーグループをポリシーに直接使用することはできませんが、各グループの Argo CD |
| ポリシーイベント履歴 | ポリシーごとに、各クラスターの最新イベント 10 件がハブクラスターに保存されており、これを表示できます。 | いいえ。ただし、各マネージドクラスターのコントローラーログからポリシーイベント履歴を取得することはできます。 |
| ポリシーの依存関係 | はい | いいえ。代わりに、Argo CD の sync wave 機能を使用して依存関係を定義できます。 |
| ポリシージェネレーター | はい | いいえ |
| OpenShift GitOps ヘルスチェック Argo CD バージョンが 2.13 より前の場合、追加の設定を行う必要があります。 | はい | はい |
| ポリシーコンプライアンス履歴 API (テクノロジープレビュー) (非推奨) | はい | いいえ |
| OpenShift GitOps を使用して、マネージドクラスターへのネイティブ Kubernetes マニフェストと Red Hat Advanced Cluster Management ポリシーを適用する | いいえ。ポリシーは Red Hat Advanced Cluster Management ハブクラスターにデプロイする必要があります。 | はい |
| アラート用のハブクラスターのポリシーステータスメトリクス | はい | いいえ |
| 違反したポリシーで Ansible ジョブを実行する |
はい。 | いいえ |
