Peta dunia

 

EN

Dunia K6: Pengawal

Polisi: CEL, Kyverno, Gatekeeper

Anda akan belajar: tulis peraturan rumah untuk pintu 3, lancarkannya dengan selamat, dan pilih penjaga peraturan.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 31 Okt 2026

Masalahnya

Pasukan anda dah setuju: tiada tag :latest. Hari Jumaat, seseorang hantar nginx:latest juga. Macam mana nak halang setiap kali?

Tengok

ValidatingAdmissionPolicy: Peraturan rumah yang disemak di pintu 3, ditulis dalam CEL. Terbina dalam Kubernetes. ialah peraturan rumah, terbina dalam Kubernetes. Peraturan itu sendiri cuma satu baris CEL. Tekan baris itu.

Tekan baris yang simpan peraturannya.

0 daripada 1 dijumpai

Teka

image: nginx tiada tag langsung. Adakah peraturan ini menghalangnya?

Cuba

Polisi sahaja tak buat apa-apa. Binding tentukan di mana ia berjalan, dan apa tindakannya: Deny, Warn atau Audit. Susun pelancaran yang selamat.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Baca amaran. Baiki YAML lama.
  • Bind dengan validationActions: [Warn]
  • Tukar binding kepada [Deny]
  • Tulis polisi (peraturannya)

Tengok

Mei hantar nginx:latest selepas tukar ke Deny. Ralatnya berakhir begini:

ValidatingAdmissionPolicy 'no-latest' with binding 'no-latest-kedai' denied request: Pin a version tag, not latest.

Cuba

Tambahan yang dipanggil enjin polisi (policy engine): Penjaga peraturan tambahan di pintu 3, contohnya Kyverno atau Gatekeeper. boleh buat lebih. Asingkan tiga penjaga peraturan ini.

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

        Semak

        Tabiat peraturan yang baik, atau berisiko? Leret setiap satu.

        Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

        1 / 4

        Mulakan peraturan baharu dengan Warn, kemudian tukar ke Deny

        Anda berjaya!

        Kini anda boleh tulis peraturan rumah untuk pintu 3.

        Nak tahu lebih (pilihan)

        Sejak Kubernetes 1.36, MutatingAdmissionPolicy juga stabil: ia ubah objek dengan CEL. failurePolicy: Fail tolak permintaan bila peraturan itu sendiri rosak. matchResources dalam binding pilih zon ikut label. Kyverno dan Gatekeeper berjalan sebagai webhook: pod tambahan yang anda mesti jaga.

        Misi sebenar

        1. kubectl apply -f policy.yaml
        2. kubectl create namespace policy-test
        4. kubectl run test -n policy-test --image=nginx:latest

        0 daripada 5 langkah siap · Tanda anda disimpan.