Політики

Політики Kubernetes — це конфігурації, які керують іншими конфігураціями або поведінкою під час виконання. Kubernetes пропонує різні форми політик, описані нижче:

Застосування політик за допомогою обʼєктів API

Деякі обʼєкти API діють як політики. Ось кілька прикладів:

• NetworkPolicies можна використовувати для обмеження вхідного та вихідного трафіку робочого навантаження.
• LimitRanges керують обмеженнями розподілу ресурсів для різних типів обʼєктів.
• ResourceQuotas обмежують споживання ресурсів для простору імен.

Застосування політик за допомогою контролерів допуску

Контролер допуску працює в API-сервері та може перевіряти або змінювати запити до API. Деякі контролери допуску застосовують політики. Наприклад, контролер допуску AlwaysPullImages змінює новий Pod, встановлюючи для нього політику завантаження образу Always.

У Kubernetes є кілька вбудованих контролерів допуску, які можна налаштувати за допомогою прапорця --enable-admission-plugins API-сервера.

Детальні відомості про контролери допуску, з повним списком доступних контролерів допуску, ви знайдете в окремому розділі:

• Контролери допуску

Застосування політик за допомогою ValidatingAdmissionPolicy

Політики перевірки допуску дають змогу виконувати налаштовувані перевірки в API-сервері за допомогою мови виразів Common Expression Language (CEL). Наприклад, ValidatingAdmissionPolicy можна використати, щоб заборонити використання теґу образу latest.

ValidatingAdmissionPolicy працює із запитом до API і може використовуватися для блокування, аудиту та попередження користувачів про невідповідні конфігурації.

Детальні відомості про API ValidatingAdmissionPolicy з прикладами ви знайдете в окремому розділі:

• Політика перевірки допуску

Застосування політик за допомогою динамічного контролю допуску

Динамічні контролери допуску (або вебхуки допуску) працюють поза API-сервером як окремі застосунки, які реєструються для отримання запитів вебхуків, щоб виконувати перевірку або зміну запитів до API.

Динамічні контролери допуску можна використовувати для застосування політик до запитів до API та запуску інших робочих процесів на основі політик. Динамічний контролер допуску може виконувати складні перевірки, зокрема ті, що потребують отримання інших ресурсів кластера та зовнішніх даних. Наприклад, перевірка образу може шукати дані в реєстрах OCI, щоб перевірити підписи та атестації образів контейнерів.

Детальні відомості про динамічний контроль допуску ви знайдете в окремому розділі:

• Динамічний контроль допуску

Реалізації

Динамічні контролери допуску, які діють як гнучкі рушії політик, розробляються в екосистемі Kubernetes, серед них:

• Kubewarden
• Kyverno
• OPA Gatekeeper
• Polaris

Застосування політик за допомогою конфігурацій Kubelet

Kubernetes дозволяє налаштовувати Kubelet на кожному робочому вузлі. Деякі конфігурації Kubelet діють як політики:

• Обмеження та резервування ID процесів використовуються для обмеження та резервування доступних для розподілу PID.
• Менеджери ресурсів вузлів можуть керувати обчислювальними ресурсами, памʼяттю та ресурсами пристроїв для робочих навантажень, критичних до затримок, і робочих навантажень із високою пропускною здатністю.