20｜OPA：为 Kubernetes 生态系统构建安全堡垒

1. Kubernetes安全挑战：随着Kubernetes集群规模和复杂性的增加，传统安全策略已经跟不上新形势，特别是在灵活性和细粒度控制方面。 2. PSP的不足：Pod Security Policies (PSP)在实际使用中暴露出一些明显的不足，最大的不足是它只能控制pod，缺乏更细粒度的控制，不能基于单个用户或具体应用的差异化来配置安全策略。 3. OPA的优势：OPA相比PSP在支持细粒度控制、动态策略更新和审计追踪功能方面表现更好，允许用户编写非常细粒度和复杂的逻辑，支持动态策略加载和更新，以及定期审计和追踪功能。 4. Gatekeeper的配置和使用：Gatekeeper是专为强化Kubernetes安全性而设计的，通过实施自定义策略来控制和管理对Kubernetes API的访问，需要安装Gatekeeper并了解ConstraintTemplates和Constraints的概念。 5. OPA和Gatekeeper的实际应用：通过案例展示了如何使用OPA和Gatekeeper来实现细粒度的、声明式的策略，以确保集群状态符合组织的合规性和安全标准。 6. CEL的发展计划和前景：Kubernetes社区正在探索将CEL集成到不同的Kubernetes组件中，以提供更灵活的配置和策略决策能力，CEL可用于Admission Control、Custom Resource Definitions (CRDs)和API Gateway，预示着更灵活和强大的策略定义方式。 7. 总结：传统安全策略在应对现代多租户集群环境中存在局限性，OPA和Gatekeeper提供了更灵活、细粒度的安全策略定义方式，而CEL的引入预示着更灵活和强大的策略定义方式。 8. 思考题：Gatekeeper定义一个策略，规则是容器启动的时候禁止使用host network。