1.2. 模板处理

Syntax

golang 文本模板规格

golang 文本模板规格

Delimiter

{{hub … hub}}

{{ … }}

Context

上下文变量 .ManagedClusterName、.ManagedClusterLabels 和 .PolicyMetadata 可用。.ManagedClusterName 解析为传播策略的目标集群的名称。.ManagedClusterLabels 解析为传播策略的受管集群中标签的键和值映射。.PolicyMetadata 使用 root 策略中的值解析为带有 名称、命名空间、标签和注解 键的映射。

对于ConfigurationPolicy资源，上下文变量.ObjectName 、 .ObjectNamespace和.Object在objectDefinition内可用。如果对象不是集群范围的，则 ObjectNamespace会解析为您指定的spec.namespaceSelector或metadata.namespace中选择的命名空间的名称。.ObjectName解析为您指定的objectSelector或metadata.name中的对象名称。.Object是当前位于集群上的完整目标对象。

Access control

默认情况下，您只能引用与 Policy 对象相同的命名空间中的命名空间 Kubernetes 资源，以及策略传播到的集群的 ManagedCluster 对象。

或者，您可以将 Policy 对象中的 spec.hubTemplateOptions.serviceAccountName 字段指定到与 Policy 资源相同的命名空间中的服务帐户。当您指定字段时，服务帐户用于所有 hub 集群模板查找。

注： 服务帐户必须具有在 hub 集群模板中查找的任何资源 的列表 和监视 权限。

您可以引用集群中的任何资源。

Functions

组模板功能，支持对 Kubernetes 资源和字符串操作的动态访问。如需更多信息，请参阅模板功能。有关查询限制，请参阅 Access control 行。

hub 集群上的 fromSecret 模板功能将生成的值作为加密字符串存储在受管集群命名空间中。

等效的调用可能使用以下语法：{{hub "(lookup "v1" "Secret" "default" "my-hub-secret").data.message | protect hub}}

组模板功能，支持对 Kubernetes 资源和字符串操作的动态访问。如需更多信息，请参阅模板功能。

Function output storage

在与受管集群同步前，模板功能的输出存储在 hub 集群上每个适用的受管集群命名空间中的 Policy 资源对象中。这意味着，对 hub 集群上的 Policy 资源对象的读取访问权限的任何人都可以读取模板功能的任何敏感结果，以及对受管集群上 ConfigurationPolicy 或 OperatorPolicy 资源对象的读取访问权限的任何人。另外，如果启用了 etcd 加密，策略资源对象不会被加密。使用返回敏感输出的模板功能（如从机密中）时，最好仔细考虑这一点。

模板功能的输出不存储在策略相关的资源对象中。

Processing

在 hub 集群的运行时，处理会在复制策略传播到集群的过程中进行。只有在创建或更新模板时，策略中的策略和 hub 集群模板才会在 hub 集群中处理。

在受管集群中进行处理。策略定期处理，利用所引用资源中的数据自动更新解析的对象定义。每当引用的资源更改时，Operator 策略会自动更新。

Processing errors

hub 集群模板中的错误显示为策略应用到的受管集群中的违反情况。

受管集群模板中的错误会在发生违反情况的特定目标集群中以违反的形式显示。