OPA Gatekeeper约束失效：无法限制仅使用私有镜像仓库镜像

1. 确认Gatekeeper基础组件状态 #

• 检查所有Gatekeeper Pod是否正常运行：

  kubectl get pods -n gatekeeper-system
  

  所有Pod状态应为Running，且就绪数与期望数一致。

• 验证Validating Webhook配置存在且覆盖Pod资源：

  kubectl get validatingwebhookconfigurations gatekeeper-validating-webhook-configuration -o yaml
  

  检查webhooks[].rules中是否包含以下规则：

  - apiGroups: [""]
    apiVersions: ["v1"]
    operations: ["CREATE", "UPDATE"]
    resources: ["pods"]
    scope: "*"
  

2. 检查约束模板与约束实例状态 #

• 确认约束模板已激活：

  kubectl get constrainttemplates k8sallowedrepos
  

  输出的STATUS字段应为Active。

• 检查约束实例是否正常生效：

  kubectl get k8sallowedrepos allow-only-private-registry -o yaml
  

  查看status字段，应包含enforced: true，且match.totalCount应统计到集群中所有Pod的数量。

3. 修复Rego规则的语法错误 #

你提供的约束模板中Rego代码存在HTML转义的引号（"），这会导致Rego解析失败，规则无法生效。需将所有"替换为普通双引号"，修正后的约束模板Rego部分如下：

package k8sallowedrepos

violation[{"msg": msg}] {
  container := input.review.object.spec.containers[_]
  satisfied := [good | repo = input.parameters.repos[_] ; good = contains(container.image, repo)]
  not any(satisfied)
  msg := sprintf("container <%v> has an invalid image repo <%v>, allowed repos are %v", [container.name, container.image, input.parameters.repos])
}

violation[{"msg": msg}] {
  container := input.review.object.spec.initContainers[_]
  satisfied := [good | repo = input.parameters.repos[_] ; good = contains(container.image, repo)]
  not any(satisfied)
  msg := sprintf("container <%v> has an invalid image repo <%v>, allowed repos are %v", [container.name, container.image, input.parameters.repos])
}

重新部署修正后的约束模板：

kubectl apply -f constraints-template.yaml

4. 排除命名空间豁免与匹配范围问题 #

• 检查Gatekeeper控制器是否配置了命名空间豁免：

  kubectl describe pod gatekeeper-controller-manager-$(kubectl get pods -n gatekeeper-system -l control-plane=controller-manager -o name | cut -d'/' -f2) -n gatekeeper-system | grep Args
  

  若存在--exempt-namespace=default（或你测试用的命名空间），则该命名空间的Pod不会被拦截，需移除该参数并重启控制器。

• 明确约束的匹配范围，确保覆盖测试用的命名空间：
  修改constraint.yaml的match字段，添加命名空间匹配规则：

  spec:
    match:
      kinds:
        - apiGroups: [""]
          kinds: ["Pod"]
      namespaces: ["*"] # 匹配所有命名空间，或指定具体命名空间列表
  

  重新部署约束：

  kubectl apply -f constraint.yaml
  

5. 验证约束生效 #

重启Gatekeeper控制器确保配置生效：

kubectl rollout restart deployment gatekeeper-controller-manager -n gatekeeper-system

再次测试部署不允许的Pod：

kubectl apply -f disallowed.yaml

此时应收到类似以下的拦截错误：

Error from server ([...]) admission webhook "validation.gatekeeper.sh" denied the request: container <swiss-army-knife> has an invalid image repo <rancherlabs/swiss-army-knife:latest>, allowed repos are ["private.example.com"]

内容的提问来源于stack exchange，提问作者GeetT