1.2. テンプレート処理

構文

Golang テキストテンプレートの仕様

Golang テキストテンプレートの仕様

デリミター

{{hub … hub}}

{{ … }}

コンテキスト

コンテキスト変数 .ManagedClusterName、.ManagedClusterLabels、および .PolicyMetadata を使用できます。.ManagedClusterName は、ポリシーが伝播されるターゲットクラスターの名前に解決されます。.ManagedClusterLabels は、ポリシーが伝播されるマネージドクラスターのラベルのキーと値のマップに解決されます。.PolicyMetadata は、ルートポリシーの値を持つ name、namespace、labels、および annotations キーを持つマップに解決されます。

ConfigurationPolicy リソースの場合、コンテキスト変数 .ObjectName、.ObjectNamespace、および .Object が objectDefinition 内で使用できます。オブジェクトがクラスタースコープでない場合、ObjectNamespace は、指定した spec.namespaceSelector または metadata.namespace から選択された namespace の名前に解決されます。.ObjectName は、指定した objectSelector または metadata.name からのオブジェクトの名前に解決されます。.Object は、現在クラスター上にある完全な状態のターゲットオブジェクトです。

アクセス制御

デフォルトでは、Policy オブジェクトおよびポリシーが伝播されるクラスターの ManagedCluster オブジェクトと同じ namespace にある、namespace に属する Kubernetes リソースのみを参照できます。

または、Policy オブジェクトの spec.hubTemplateOptions.serviceAccountName フィールドを、Policy リソースと同じ namespace 内のサービスアカウントに指定することもできます。フィールドを指定すると、すべてのハブクラスターテンプレートの検索にサービスアカウントが使用されます。

注記: サービスアカウントには、ハブクラスターテンプレートで検索されるすべてのリソースに対する list および watch 権限が必要です。

クラスターの任意のリソースを参照できます。

関数

Kubernetes リソースおよび文字列操作への動的なアクセスをサポートするテンプレート関数のセット。詳細は、Template functions を参照してください。検索制限は、アクセス制御の行を参照してください。

ハブクラスターの fromSecret テンプレート機能は、結果の値をマネージドクラスターの namespace に複製されたポリシーで暗号化された文字列として保存します。

同等の呼び出しは、次の構文を使用する場合があります: {{hub "(lookup "v1" "Secret" "default" "my-hub-secret").data.message | protect hub}}

テンプレート関数セットは、Kubernetes リソースおよび文字列操作への動的なアクセスをサポートします。詳細は、Template functions を参照してください。

関数出力ストレージ

テンプレート関数の出力は、マネージドクラスターに同期される前に、マネージドクラスターで適用可能な各マネージドクラスター namespace の Policy resource オブジェクトに保存されます。つまり、テンプレート関数からの機密結果は、ハブクラスター上の Policy リソースオブジェクトへの読み取りアクセス権を持つユーザー、およびマネージドクラスター上の ConfigurationPolicy または OperatorPolicy リソースオブジェクトへの読み取りアクセス権を持つユーザーによって読み取ることができます。さらに、etcd 暗号化が有効になっている場合が、ポリシーリソースオブジェクトが暗号化されません。機密な情報の出力を返すテンプレート関数 (シークレットなど) を使用する場合には、この点を慎重に検討することが推奨されます。

テンプレート関数の出力は、ポリシー関連のリソースオブジェクトには保存されません。

処理

複製されたポリシーのクラスターへの伝播中に、ハブクラスターのランタイムで処理が発生します。ポリシーと、そのポリシー内にあるハブクラスターのテンプレートは、テンプレートの作成時または更新時にのみハブクラスターで処理されます。

処理はマネージドクラスターで実行されます。設定ポリシーは定期的に処理され、参照されるリソースのデータを使用して解決されたオブジェクト定義を自動的に更新します。参照されているリソースが変更されるたびに、Operator ポリシーが自動的に更新されます。

エラーの処理

ハブクラスターテンプレートからのエラーは、ポリシーの適用先のマネージドクラスターの違反として表示されます。

マネージドクラスターテンプレートからのエラーは、違反が発生した特定のターゲットクラスターの違反として表示されます。