Open Policy Agent Gatekeeper 安装与卸载完全指南

前言

Open Policy Agent (OPA) Gatekeeper 是 Kubernetes 中实现策略即代码(Policy as Code)的重要工具。本文将详细介绍 Gatekeeper 的安装与卸载过程，帮助您快速在 Kubernetes 集群中部署这一强大的策略执行引擎。

安装前准备

Kubernetes 版本要求

Gatekeeper 支持的最低 Kubernetes 版本与 Kubernetes 官方支持的版本策略保持一致。特别需要注意的是，Gatekeeper 需要 Kubernetes v1.16 及以上版本引入的资源才能正常运行。

RBAC 权限配置

在安装 Gatekeeper 前，请确保您拥有集群管理员权限。可以通过以下命令创建集群角色绑定：

kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole cluster-admin \
  --user <您的用户名>

安装方法详解

方法一：使用预构建镜像安装（推荐）

这是最简单的安装方式，适合大多数用户：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.12.0/deploy/gatekeeper.yaml

此命令会部署 Gatekeeper 的所有必要组件，包括：

• 控制器管理器
• 审计功能
• 必要的 CRD (Custom Resource Definitions)

方法二：使用开发镜像安装

如果您需要最新开发版本的 Gatekeeper，可以使用开发镜像标签：

• openpolicyagent/gatekeeper:dev - 最新开发版本
• openpolicyagent/gatekeeper:<SHA> - 特定提交版本

方法三：从源码构建安装（高级）

适合需要自定义构建或开发 Gatekeeper 的用户：

1. 确保已安装 Docker 20.10 或更高版本
2. 设置 kubectl 上下文到目标集群
3. 准备可写入且目标集群可读取的容器注册表

构建并推送镜像：

export DESTINATION_GATEKEEPER_IMAGE=<您的注册表地址>
make docker-buildx REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE OUTPUT_TYPE=type=registry

部署到集群：

make deploy REPOSITORY=$DESTINATION_GATEKEEPER_IMAGE

方法四：使用 Helm 安装

Gatekeeper 提供了基本的 Helm chart：

1. 添加 Helm 仓库：

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts

2. 安装 Gatekeeper：

helm install gatekeeper/gatekeeper --name-template=gatekeeper \
  --namespace gatekeeper-system \
  --create-namespace

您可以通过修改 charts/gatekeeper/values.yaml 文件来自定义部署配置。

卸载 Gatekeeper

预构建镜像卸载方式

kubectl delete -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/v3.12.0/deploy/gatekeeper.yaml

make 方式卸载

make uninstall

Helm 方式卸载

1. 删除 Helm 部署：

helm delete gatekeeper --namespace gatekeeper-system

2. 删除 CRD（Helm v3 不会自动清理）：

kubectl delete crd -l gatekeeper.sh/system=yes

注意：此操作会同时删除所有用户配置、约束模板和约束。

安装后验证

安装完成后，可以通过以下命令检查 Gatekeeper 组件状态：

kubectl get pods -n gatekeeper-system

正常情况下，您应该看到 gatekeeper-controller-manager pod 处于 Running 状态。

常见问题

1. 权限不足：确保使用具有足够权限的 kubeconfig 文件
2. 资源限制：Gatekeeper 可能需要调整资源请求和限制，特别是在大型集群中
3. 网络问题：确保集群能够访问容器镜像仓库

通过本文介绍的多种安装方式，您可以根据实际需求选择最适合的方法在 Kubernetes 集群中部署 Gatekeeper，为您的集群策略管理提供强大支持。