OPA Gatekeeper中约束spec.match.kinds能否配置为匹配所有资源？

是的，OPA Gatekeeper支持配置约束匹配所有资源，但你当前的配置存在关键遗漏，导致未生效。以下是具体说明和正确配置方式：

正确的匹配配置 #

覆盖所有命名空间级+集群级资源 #

若要匹配所有资源（包括命名空间内的Deployment、Pod，以及集群级的Namespace、Node等），需要在match中添加scope: "Cluster"（默认scope为Namespaced，仅匹配命名空间内资源），结合通配符配置：

...
spec:
  match:
    scope: "Cluster"
    kinds:
      - apiGroups: ["*"]
        kinds: ["*"]
...

更简洁的写法 #

如果不需要针对资源组/类型做额外限制，也可以直接省略kinds字段，仅通过scope: "Cluster"实现全资源匹配：

...
spec:
  match:
    scope: "Cluster"
...

你的配置未生效的可能原因 #

• 缺少scope: "Cluster"，导致仅匹配命名空间内资源，集群级资源未被覆盖
• 约束关联的Rego模板中存在硬编码的资源类型过滤逻辑，限制了匹配范围
• 使用的Gatekeeper版本过旧，部分早期版本对通配符*的支持存在局限（建议升级至v3.10及以上版本）

内容的提问来源于stack exchange，提问作者Felipe Sierra