开放策略代理-OPA-如何使用kubernetes configmap对象中的--config-file

Question

我正在尝试如下设置我的OPA。

1. OPA作为Kubernetes中的辅助工具安装
2. 政策将作为捆绑管理
3. OPA策略将通过单独的服务[捆绑包]存储和提供
4. 需要使用config-file配置OPA才能从外部服务获取策略
5. 配置文件将作为配置映射存储在kubernetes中。
6. 该配置映射需要在--config-file中使用

我在kubernetes中的配置映射

kubectl create configmap policyconfig --from-file=./config/config.yaml

我的Sidecar OPA

 - name: opa
          image: openpolicyagent/opa:latest
          args:
            - "run"
            - "--server"
            - "--addr=0.0.0.0:443"
            - "--addr=0.0.0.0:8181"
            - "--config-file=policyconfig"
      volumes:
        - name: policyconfig
          configMap:
            name: policyconfig

让我知道是否可以通过这种方式实现

Answer 1

您可以将kube-mgmt用作在Kubernetes上管理OPA的辅助工具。

kube-mgmt会自动发现Kubernetes中ConfigMap中存储的策略，并将其加载到OPA中。如果ConfigMap是，则kube-mgmt假定ConfigMap包含策略：

1. 在--policies选项中列出的名称空间中创建。如果指定--policies = *，则kube-mgmt将在所有名称空间中寻找策略。
2. 对openpolicyagent.org/policy=rego感到厌烦