Kubernetes带/和.的标签Rego政策编写语法问题求助

问题场景 #

编写Rego政策强制Kubernetes对象的企业标签时，遇到带斜杠（/）或点号（.）的标签无法正常匹配的问题：

带特殊字符的标签示例 #

metadata:
  labels:
    mycompany.com/teamName: foo-team

失败的Rego代码 #

teams := ["foo-team", "bar-team"]

deny_team_label contains msg if {
  not `input.metadata.labels.mycompany.com/team` in teams
  msg := "Must have a valid mycompany.com/team label"
}

上述政策无法触发预期的拒绝规则。

正常工作的对比场景 #

当标签不含特殊字符时，以下Rego代码可以正常生效：

metadata:
  labels:
    teamName: foo-team

teams := ["foo-team", "bar-team"]

deny_team_label contains msg if {
  not input.metadata.labels.teamName in teams
  msg := "Must have a valid team label"
}

问题原因 #

Rego中使用.访问对象属性时，要求属性名是合法的标识符（不能包含/、.这类特殊字符）。直接用input.metadata.labels.mycompany.com/team的写法会被解析错误，无法正确定位到目标标签。

正确解法 #

对于含特殊字符的标签键，需要使用括号索引的方式访问，把标签键用字符串包裹后放在方括号中：

teams := ["foo-team", "bar-team"]

deny_team_label contains msg if {
  # 使用括号索引访问带特殊字符的标签
  not input.metadata.labels["mycompany.com/teamName"] in teams
  msg := "Must have a valid mycompany.com/teamName label"
}

补充说明 #

• 如果需要检查标签是否存在，也可以用括号索引配合exists函数：

  deny_missing_label contains msg if {
    not exists(input.metadata.labels["mycompany.com/teamName"])
    msg := "Required label mycompany.com/teamName is missing"
  }
  

内容的提问来源于stack exchange，提问作者NA Slacker