使用OPA增强Kubernetes安全

package kubernetes.admission
import data.kubernetes.namespaces
operations = {"CREATE", "UPDATE"}
deny[msg] {  input.request.kind.kind == "Ingress"  operations[input.request.operation]  host := input.request.object.spec.rules[_].host  not fqdn_matches_any(host, valid_ingress_hosts)  msg := sprintf("invalid ingress host %q", [host])}
valid_ingress_hosts = {host |  whitelist := namespaces[input.request.namespace].metadata.annotations["ingress-whitelist"]  hosts := split(whitelist, ",")  host := hosts[_]}
fqdn_matches_any(str, patterns) {  fqdn_matches(str, patterns[_])}
fqdn_matches(str, pattern) {  pattern_parts := split(pattern, ".")  pattern_parts[0] == "*"  str_parts := split(str, ".")  n_pattern_parts := count(pattern_parts)  n_str_parts := count(str_parts)  suffix := trim(pattern, "*.")  endswith(str, suffix)}
fqdn_matches(str, pattern) {    not contains(pattern, "*")    str == pattern}

deny[msg] {  input.request.kind.kind == "Ingress"  operations[input.request.operation]  host := input.request.object.spec.rules[_].hostnot fqdn_matches_any(host, valid_ingress_hosts)  msg := sprintf("invalid ingress host %q", [host])}

host：= input.request.object.spec.rules [_]。host使用来自API请求.spec.rules.host值的数据定义一个名为host的变量。

_字符是一个特殊的匿名变量。不必显式命名每个变量，可以使用_字符快速遍历值列表。在此变量定义中，_变量遍历API请求.spec.rules中的所有规则，并根据策略条件测试主机的每个值。

最终测试是Rego可能会引起混乱的地方。默认方法以及本教程中使用的方法是创建一个拒绝API请求的策略。这意味着我们一直在执行的拒绝政策中的所有条件都必须评估为是。如果满足“拒绝策略”中的所有条件，则OPA将拒绝该请求。

如果API请求中的域位于其名称空间的入口白名单注释中，则策略中的最终测试将返回True。但是，如果请求不在名称空间的ingress-whitelist批注中，我们想拒绝它们。为此，最终测试使用not运算符。即使fqdn_matches_any如果应允许使用域也返回True，则not运算符也会告诉deny策略寻找该结果的反函数。

代码不是fqdn_matches_any（host，valid_ingress_hosts）调用策略中定义的fqdn_matches_any函数。此外，它还传递策略中定义的valid_ingress_hosts参数。

valid_ingress_hosts的值定义如下：

valid_ingress_hosts = {host |  whitelist := namespaces[input.request.namespace].metadata.annotations["ingress-whitelist"]  hosts := split(whitelist, ",")  host := hosts[_]}

白名单值是通过查看传入API请求的名称空间注释来计算的。

如果名称空间具有名为ingress-whitelist的注释，则该注释的关联主机名模式将另存为数组内的主机值。

在本教程中，将创建带有ingress-whitelist批注的名称空间来测试该策略。

apiVersion: v1kind: Namespacemetadata:annotations:ingress-whitelist: "*.qa.example.com,*.internal.example.com"name: qa

{"host": "*.qa.example.com", "host": "*.internal.example.com"}

fqdn_matches_any(str, patterns) {  fqdn_matches(str, patterns[_])}

  fqdn_matches(str, pattern) {  pattern_parts := split(pattern, ".")  pattern_parts[0] == "*"  str_parts := split(str, ".")  n_pattern_parts := count(pattern_parts)  n_str_parts := count(str_parts)  suffix := trim(pattern, "*.")  endswith(str, suffix)}
fqdn_matches(str, pattern) {    not contains(pattern, "*")    str == pattern}