Gatekeeper：Kubernetes 集群的策略守门人

Gatekeeper 在 GitHub 上有 4232 个 Star。

open-policy-agent 团队开源了这个项目，专门解决 Kubernetes 集群里的策略管理问题。它基于 OPA（Open Policy Agent）构建，但比单独用 OPA 多了不少东西：原生 CRD 支持、策略模板库、变更（Mutation）能力、审计功能，还有外部数据源接入。

1、 它解决什么问题

Kubernetes 集群一多，管理就变复杂。谁能部署什么镜像、哪些命名空间可以用特权容器、资源配额怎么分配，这些规则如果靠人盯，迟早出事。

OPA 本身是个通用策略引擎，能做决策，但它跟 Kubernetes 的集成需要额外工作。kube-mgmt 是早期方案，功能够用，但配置繁琐，也没有原生的 Kubernetes 资源定义。

Gatekeeper 把 OPA 的能力包装成了 Kubernetes 原生的样子。你不用再写一堆配置文件去对接，直接用 CRD 就能定义策略、管理约束。

2、 比 OPA 多了什么

跟用 OPA 加 kube-mgmt 的老方案比，Gatekeeper 加了几样东西。

策略库是一套现成的约束模板，覆盖常见的安全和合规场景。你不用从零开始写 Rego 规则，直接从库里选模板，填参数就能用。

约束模板本身也是 CRD。想扩展策略库，定义一个新的 ConstraintTemplate 就行，团队里其他人拿来就能实例化。

变更支持是个实用功能。有些场景你不想拒绝请求，而是想自动修改它。比如给所有 Pod 自动注入安全上下文，或者补全缺失的标签，Gatekeeper 能在准入阶段直接改资源。

审计功能会定期扫描集群里已有的资源，检查它们是否符合当前策略。新策略上线后，不用逐个资源去验证，审计报告直接告诉你哪些不合规。

外部数据支持让策略能调用集群外的服务。比如检查镜像是否来自受信仓库，策略可以查询外部的镜像白名单。

3、 怎么用

部署到 Kubernetes 集群里，Gatekeeper 以准入控制器的形式运行。所有经过 API Server 的资源请求都会被它拦截和校验。

安装不复杂，官方文档有详细的步骤。装好之后，先部署约束模板，再创建具体的约束资源，策略就生效了。

策略库（Gatekeeper Library）是独立维护的仓库，里面有大量现成的模板。镜像来源限制、标签规范、资源配额、安全上下文，常见需求基本都覆盖了。

想自己写规则，ConstraintTemplate 的结构很清晰：定义参数字段，写 Rego 校验逻辑，打包成模板。团队内部可以形成一套标准策略集，跨集群复用。

4、 适合什么场景

多租户集群是典型场景。不同团队共用一个集群，资源隔离、权限控制、镜像审核，这些靠人工协调不现实，需要策略引擎自动执行。

合规审计也是。金融、医疗这类行业对运行环境有硬性要求，Gatekeeper 的审计功能可以持续检查集群状态，出审计报告。

CI/CD 流水线里也能用。资源定义在部署前过一遍 Gatekeeper，不合规的直接打回，问题暴露在上线之前。

CNCF 的行为准则适用于这个项目，安全漏洞有专门的报告流程。社区和贡献指南在项目文档里都能找到。

CNCF 的行为准则适用于这个项目，安全漏洞有专门的报告流程。社区和贡献指南在项目文档里都能找到。