2.4. 타사 정책 컨트롤러 통합
타사 정책을 통합하여 정책 템플릿 내에서 사용자 지정 주석을 생성하여 하나 이상의 규정 준수 표준, 제어 카테고리 및 제어를 지정합니다.
정책 수집/커뮤니티 의 타사 정책을 사용할 수도 있습니다.
다음 타사 정책을 통합하는 방법을 알아보십시오.
2.4.1. 게이트키퍼 제약 조건 및 제약 조건 템플릿 통합 링크 복사링크가 클립보드에 복사되었습니다!
Gatekeeper는OPA(Open Policy Agent)를 사용하여 실행되는 CRD(사용자 정의 리소스 정의) 기반 정책을 적용하는 검증 웹 후크입니다. 게이트 키퍼는 게이트키퍼 운영자 정책을 사용하여 클러스터에 설치할 수 있습니다. 게이트키퍼 정책을 사용하여 Kubernetes 리소스 컴플라이언스를 평가할 수 있습니다. OPA를 정책 엔진으로 활용하고 정책 언어로 Rego를 사용할 수 있습니다.
게이트키퍼 정책은 Red Hat Advanced Cluster Management에서 Kubernetes 구성 정책으로 생성됩니다. 게이트키퍼 정책에는 제약 조건 템플릿(ConstraintTemplates
) 및 제약 조건
, 감사 템플릿, 승인 템플릿이 포함됩니다. 자세한 내용은 Gatekeeper 업스트림 리포지토리를 참조하십시오.
Red Hat Advanced Cluster Management는 Gatekeeper용 버전 3.3.0을 지원하며 Red Hat Advanced Cluster Management gatekeeper 정책에서 다음과 같은 제약 조건 템플릿을 적용합니다.
ConstraintTemplates
및 제약 조건:policy-gatekeeper-k8srequiredlabels
정책을 사용하여 관리 클러스터에서 게이트키퍼 제약 조건 템플릿을 생성합니다.Copy to Clipboard Copied! Toggle word wrap Toggle overflow 감사 템플릿:
policy-gatekeeper-audit
를 사용하여 기존의 잘못된 구성을 감지하기 위해 적용되는 게이트 키퍼 정책에 대해 정기적으로 기존 리소스를 확인하고 평가합니다.Copy to Clipboard Copied! Toggle word wrap Toggle overflow 승인 템플릿:
policy-gatekeeper-admission
을 사용하여 게이트키퍼 승인 Webhook에 의해 생성되는 잘못된 설정을 확인합니다.Copy to Clipboard Copied! Toggle word wrap Toggle overflow
자세한 내용은 policy-gatekeeper-sample.yaml
을 참조하십시오.
다른 정책 관리에 대한 자세한 내용은 구성 정책 관리를 참조하십시오. 보안 프레임워크에 대한 자세한 내용은 관리에서 참조하십시오.
2.4.2. 정책 생성기 링크 복사링크가 클립보드에 복사되었습니다!
정책 생성기는 Kustomize를 사용하여 Red Hat Advanced Cluster Management for Kubernetes 애플리케이션 라이프사이클 서브스크립션 GitOps 워크플로우의 일부로, Kustomize를 사용하여 Red Hat Advanced Cluster Management 정책을 생성합니다. 정책 생성기는 Kubernetes 매니페스트 YAML 파일에서 Red Hat Advanced Cluster Management 정책을 빌드하는 데 사용되는 PolicyGenerator
매니페스트 YAML 파일을 통해 제공됩니다. 정책 생성기는 Kustomize 생성기 플러그인으로 구현됩니다. Kustomize에 대한 자세한 내용은 Kustomize 설명서 를 참조하십시오.
이 Red Hat Advanced Cluster Management 버전에 번들된 정책 생성기는 v1.9.0입니다.
2.4.2.1. 정책 생성기 기능 링크 복사링크가 클립보드에 복사되었습니다!
정책 생성기 및 Red Hat Advanced Cluster Management 애플리케이션 라이프사이클 서브스크립션 GitOps와의 통합은 Red Hat Advanced Cluster Management 정책을 통해 Kubernetes 리소스 오브젝트를 관리 OpenShift 클러스터 및 Kubernetes 클러스터에 배포할 수 있도록 단순화합니다. 특히 정책 생성기를 사용하여 다음 작업을 완료합니다.
- 모든 Kubernetes 매니페스트 파일을 Kustomize 디렉토리에서 생성된 매니페스트를 포함하여 Red Hat Advanced Cluster Management 구성 정책 으로 변환합니다.
- 생성된 Red Hat Advanced Cluster Management 정책에 삽입되기 전에 입력 Kubernetes 매니페스트를 패치합니다.
- Red Hat Advanced Cluster Management for Kubernetes를 통해 Gatekeeper 및 정책 위반에 대해 보고할 수 있는 추가 구성 정책을 생성합니다.
- hub 클러스터에서 정책 세트를 생성합니다. 자세한 내용은 정책 세트 컨트롤러를 참조하십시오.
자세한 내용은 에 대해 다음 주제를 확인하십시오.
2.4.2.2. 정책 생성기 구성 구조 링크 복사링크가 클립보드에 복사되었습니다!
정책 생성기는 PolicyGenerator
종류 및 policy.open-cluster-management.io/v1
API 버전의 매니페스트로 구성된 Kustomize 생성기 플러그인입니다.
플러그인을 사용하려면 kustomization.yaml
파일에 generators
섹션을 추가하여 시작합니다. 다음 예제를 확인합니다.
generators: - policy-generator-config.yaml
generators:
- policy-generator-config.yaml
이전 예제에서 참조하는 policy-generator-config.yaml
파일은 생성할 정책의 지침이 포함된 YAML 파일입니다. 간단한 정책 생성기 구성 파일은 다음 예와 유사합니다.
configmap.yaml
은 정책에 포함할 Kubernetes 매니페스트 YAML 파일을 나타냅니다. 또는 Kustomize 디렉터리의 경로 또는 여러 Kubernetes 매니페스트 YAML 파일이 있는 디렉터리를 설정할 수 있습니다. 다음 예제를 확인합니다.
생성된 Policy
는 PlacementRule
및 PlacementBinding
과 함께 다음 예와 유사합니다.
자세한 내용은 policy-generator-plugin
리포지터리를 참조하십시오.
2.4.2.3. Operator를 설치하기 위한 정책 생성 링크 복사링크가 클립보드에 복사되었습니다!
Red Hat Advanced Cluster Management 정책을 일반적으로 사용하는 것은 하나 이상의 관리형 OpenShift 클러스터에 Operator를 설치하는 것입니다. 다양한 설치 모드 및 필수 리소스의 다음 예제를 확인합니다.
2.4.2.3.1. OpenShift GitOps를 설치하는 정책 링크 복사링크가 클립보드에 복사되었습니다!
이 예제에서는 정책 생성기를 사용하여 OpenShift GitOps를 설치하는 정책을 생성하는 방법을 보여줍니다. OpenShift GitOps Operator는 모든 네임스페이스 설치 모드를 제공합니다. 먼저 다음 예제와 같이 openshift-gitops-subscription.yaml
이라는 서브스크립션
매니페스트 파일을 생성해야 합니다.
특정 버전의 Operator에 고정하려면 다음 매개변수 및 값을 추가할 수 있습니다 . spec.startingCSV: openshift-gitops-operator.v<version
> . < ;version&
gt;을 기본 버전으로 바꿉니다.
다음으로 policy-generator -config.yaml이라는 정책 생성기
구성 파일이 필요합니다. 다음 예는 모든 OpenShift 관리 클러스터에 OpenShift GitOps를 설치하는 단일 정책을 보여줍니다.
필요한 마지막 파일은 kustomization.yaml
파일입니다. kustomization.yaml
파일에는 다음 설정이 필요합니다.
generators: - policy-generator-config.yaml
generators:
- policy-generator-config.yaml
생성된 정책은 다음 파일과 유사합니다.
입력이 OpenShift Container Platform 설명서에서 제공되는 모든 정책은 정책 생성기에 의해 완전히 지원됩니다. OpenShift Container Platform 설명서에서 지원되는 YAML 입력의 다음 예제를 확인하십시오.
자세한 내용은 OpenShift GitOps 및 Operator 설명서 이해를 참조하십시오.
2.4.2.3.2. Compliance Operator를 설치하는 정책 링크 복사링크가 클립보드에 복사되었습니다!
네임스페이스 된 설치 모드를 사용하는 Operator의 경우 Compliance Operator와 같이 OperatorGroup
매니페스트도 필요합니다. 이 예제에서는 Compliance Operator를 설치하는 생성된 정책을 보여줍니다.
먼저 네임스페이스가 있는 YAML 파일
, 서브스크립션
및 compliance-operator.yaml
이라는 OperatorGroup
매니페스트를 생성해야 합니다. 다음 예제에서는 이러한 매니페스트를 compliance-operator
네임스페이스에 설치합니다.
다음으로 policy-generator -config.yaml이라는 정책 생성기
구성 파일이 필요합니다. 다음 예제는 모든 OpenShift 관리 클러스터에 Compliance Operator를 설치하는 단일 정책을 보여줍니다.
필요한 마지막 파일은 kustomization.yaml
파일입니다. kustomization.yaml
파일에 다음 구성이 필요합니다.
generators: - policy-generator-config.yaml
generators:
- policy-generator-config.yaml
결과적으로 생성된 정책은 다음 파일과 유사합니다.
자세한 내용은 Compliance Operator 설명서 를 참조하십시오.
2.4.2.4. OpenShift GitOps(ArgoCD)에 정책 생성기 설치 링크 복사링크가 클립보드에 복사되었습니다!
ArgoCD 를 기반으로 하는 OpenShift GitOps를 사용하여 GitOps를 통해 정책 생성기를 생성할 수도 있습니다. 정책 생성기가 OpenShift GitOps 컨테이너 이미지에 사전 설치되지 않으므로 일부 사용자 지정이 필요합니다. 후속 조치를 위해 OpenShift GitOps Operator 가 Red Hat Advanced Cluster Management hub 클러스터에 설치되어 hub 클러스터에 로그인해야 합니다.
OpenShift GitOps가 Kustomize를 실행할 때 정책 생성기에 액세스할 수 있도록 Init Container는 Red Hat Advanced Cluster Management Application Subscription 컨테이너 이미지에서 Kustomize를 실행하는 OpenShift GitOps 컨테이너로 정책 생성기 바이너리를 복사해야 합니다. 자세한 내용은 Pod를 배포하기 전에 Init Container를 사용하여 작업을 수행합니다. 또한 Kustomize를 실행할 때 --enable-alpha-plugins
플래그를 제공하도록 OpenShift GitOps를 구성해야 합니다. 다음 명령을 사용하여 OpenShift GitOps argocd
오브젝트 편집을 시작합니다.
oc -n openshift-gitops edit argocd openshift-gitops
oc -n openshift-gitops edit argocd openshift-gitops
그런 다음 다음 추가 YAML 콘텐츠를 포함하도록 OpenShift GitOps argocd
오브젝트를 수정합니다. 새로운 주요 버전의 Red Hat Advanced Cluster Management가 릴리스되고 정책 생성기를 최신 버전으로 업데이트하려면 Init Container에서 사용하는 registry.redhat.io/rhacm2/multicluster-operators-subscription-rhel8
이미지를 최신 태그로 업데이트해야 합니다. 다음 예제를 보고 < version
>을 2.6 또는 원하는 Red Hat Advanced Cluster Management 버전으로 교체합니다.
OpenShift GitOps에서 정책 생성기를 사용할 수 있으므로 Red Hat Advanced Cluster Management hub 클러스터에서 정책을 생성할 수 있는 OpenShift GitOps에 액세스 권한이 부여되어야 합니다. 생성, 읽기, 업데이트, 삭제 정책 및 배치에 액세스할 수 있는 openshift-gitops-policy-admin
이라는 다음 ClusterRole
리소스를 생성합니다. ClusterRole
은 다음 예와 유사할 수 있습니다.
또한 ClusterRoleBinding
오브젝트를 생성하여 OpenShift GitOps 서비스 계정 액세스 권한을 openshift-gitops-policy-admin
ClusterRole
에 부여합니다. ClusterRoleBinding
은 다음 리소스와 유사할 수 있습니다.
2.4.2.5. 정책 생성기 구성 참조 테이블 링크 복사링크가 클립보드에 복사되었습니다!
네임스페이스
를 제외한 policyDefaults
섹션의 모든 필드는 정책별로 덮어쓸 수 있습니다.
필드 | 선택적 또는 필수 | 설명 |
---|---|---|
| 필수 항목 |
값을 |
| 필수 항목 |
정책 유형을 표시하려면 해당 값을 |
| 필수 항목 | 정책 리소스를 식별하는 이름입니다. |
| 선택 사항 |
여러 정책이 동일한 배치를 사용하는 경우 이 이름은 생성되는 |
| 필수 항목 |
여기에 나열된 기본값은 |
| 필수 항목 | 모든 정책의 네임스페이스입니다. |
| 선택 사항 |
매니페스트를 클러스터의 오브젝트와 비교할 때 정책 컨트롤러 동작을 결정합니다. 사용할 수 있는 값은 |
| 선택 사항 |
매니페스트 메타데이터 섹션을 클러스터의 오브젝트와 비교할 때 |
| 선택 사항 |
|
| 선택 사항 |
|
| 선택 사항 |
|
| 선택 사항 |
정책이 |
| 선택 사항 |
생성된 구성 정책에 설정할 주석의 키-값 쌍입니다. 예를 들어 다음 매개변수를 정의하여 정책 템플릿을 비활성화할 수 있습니다. |
| 선택 사항 |
정책 위반의 심각도입니다. 기본값은 |
| 선택 사항 |
정책이 비활성화되었는지 여부입니다. 즉, 전파되지 않고 결과적으로 상태가 없습니다. 정책을 활성화하려면 기본값은 |
| 선택 사항 |
정책의 수정 메커니즘입니다. 매개변수 값은 |
| 네임스페이스가 지정되지 않은 네임스페이스 오브젝트에 필요합니다. |
오브젝트가 적용되는 관리형 클러스터의 네임스페이스를 결정합니다. |
| 선택 사항 |
특정 |
| 선택 사항 |
이렇게 하면 정책에서 래핑되는 모든 매니페스트에 대해 단일 구성 정책이 생성되는지 확인합니다. |
| 선택 사항 |
정책이 위반된 게이트키퍼 정책 매니페스트를 참조하는 경우 Red Hat Advanced Cluster Management에서 정책 위반을 받기 위해 추가 구성 정책이 생성되는지 확인합니다. 기본값은 |
| 선택 사항 |
정책이 조인하는 정책 세트의 배열입니다. 정책 세트 세부 정보는 |
| 선택 사항 |
정책이 설정된 정책의 일부인 경우 기본적으로 생성기는 정책 세트의 배치가 생성되므로 이 정책에 대한 배치를 생성하지 않습니다. 정책 배치 및 정책 집합 배치를 모두 사용하여 정책을 배포하려면 |
| 선택 사항 | 정책에 대한 배치 구성입니다. 기본값은 모든 클러스터와 일치하는 배치 구성입니다. |
| 선택 사항 | 동일한 클러스터 선택기를 포함하는 배치 규칙을 통합할 이름을 지정합니다. |
| 선택 사항 |
클러스터에 이미 존재하는 배치를 사용하도록 이 매개변수를 정의합니다. 배치는 생성되지 않지만 |
| 선택 사항 |
기존 배치를 재사용하려면 |
| 선택 사항 |
다음 형식인 |
| 선택 사항 |
클러스터에 이미 존재하는 배치 규칙을 사용하려면 여기에 해당 이름을 지정합니다. |
| 선택 사항 |
기존 배치 규칙을 재사용하려면 |
| 선택 사항 |
다음 형식인 |
| 필수 항목입니다. |
함께 생성할 정책 목록은 기본값 또는 |
| 필수 항목 | 생성할 정책의 이름입니다. |
| 필수 항목 | 정책에 포함할 Kubernetes 오브젝트 매니페스트 목록입니다. |
| 필수 항목 |
|
| 선택 사항 |
매니페스트를 클러스터의 오브젝트와 비교할 때 정책 컨트롤러 동작을 결정합니다. 매개변수 값은 |
| 선택 사항 |
경로에 매니페스트에 적용할 Kustomize 패치입니다. 여러 매니페스트가 있는 경우 패치에는 |
| 선택 사항 |
생성할 정책 세트 목록입니다. 정책 세트에 정책을 포함하려면 |
| 필수 항목 | create로 설정된 정책의 이름입니다. |
| 선택 사항 | create로 설정된 정책에 대한 설명입니다. |
| 선택 사항 |
정책 세트에 포함할 정책 목록입니다. |
| 선택 사항 |
설정된 배치 구성입니다. 기본값은 모든 클러스터와 일치하는 배치 구성입니다. 배치 문서의 |
통합 타사 정책 컨트롤러 문서로 돌아가거나 자세한 내용은 관리 설명서를 참조하십시오.