检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
约束PodSecurityPolicy中的“volumes”字段类型。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters的volumes字段定义了允许的类型列表。 apiVersion: constraints.gatekeeper.sh/v1beta1
pathPrefix: 字符串 作用 约束PodSecurityPolicy中的“hostPath”字段的参数。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中的allowedHostPaths指定了字段的值。 apiVersion: constraints.gatekeeper
生效资源类型：Pod 参数： tags：字符串数组 exemptImages：字符串数组 作用 约束容器镜像tag。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中表示不允许容器镜像tag为latest。 apiVersion: constraints.gatekeeper
User和system:unauthenticated Group。 策略实例示例 示例展示了ClusterRole和Role资源仅能关联到allowedRoles中定义的Role。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sDisallowAnonymous
AOM），上报的事件可用于配置告警，安装方法见：收集数据面日志 本地集群可在安装插件时开启或关闭该功能。 自定义事件上报 若已上报的事件不能满足需求，可通过修改配置，修改需要上报到应用运维管理（AOM）的事件。 在集群上执行以下命令，编辑当前的事件采集配置。 kubectl edit
参数：无 作用 限制PodSecurityPolicy中的“hostPID”和“hostIPC”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sPSPHostNamespace
约束PodSecurityPolicy中的“sysctls”字段不能使用的name。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中的forbiddenSysctls定义了sysctls中不能允许的名称。 apiVersion: constraints.gatekeeper
kinds: ["Pod"] parameters: ratio: "1" cpuRatio: "10" 符合策略实例的资源定义 cpu比例为4，内存比例为1，符合约束。 apiVersion: v1 kind: Pod metadata: name: opa-allowed
kinds: ["Pod"] parameters: cpu: "200m" memory: "1Gi" 符合策略实例的资源定义 CPU和内存的Request小于配置的最大值，符合策略实例。 apiVersion: v1 kind: Pod metadata: name:
cpu: "100m" memory: "1Gi" 不符合策略实例的资源定义 内存Limit超过最大值，不符合策略实例。 父主题： 使用策略定义库
推荐级别：L1 生效资源类型：Ingress 参数：无 作用 禁止ingress配置空白或通配符类型的hostname。 策略实例示例 示例展示了该策略定义的生效类型。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sBlockWildcardIngress
创建podinfo源代码仓时，请先注册一个属于自己的GitHub账号，然后将podinfo所有代码fork到自己的GitHub仓库中。 在git仓库中定义交付资源清单文件时，不应包含敏感信息（如数据库连接密钥等）。相关敏感信息应以环境变量、加密存储的Secret等方式进行存储。 图1 Podinfo界面 操作步骤 登录华为云控制台。
象 exemptImages：字符串数组 作用 约束Pod定义SELinux配置的允许列表。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中的allowedSELinuxOptions定义了参数的允许列表。 apiVersion: constraints
作用 约束PodSecurityPolicy中的“allowedProcMountTypes”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中指定了procMount的值为Default。 apiVersion: constraints.gatekeeper
exemptImages：字符串数组 作用 约束AppArmor字段列表。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters的allowedProfiles字段定义了允许的值列表。 apiVersion: constraints.gatekeeper.sh/v1beta1
- "ingress-nginx-private" - "ingress-nginx-public" 符合策略实例的资源定义 Servie类型非LoadBalancer，符合策略实例。 apiVersion: v1 kind: Service metadata:
生效资源类型：ClusterRole 参数：无 作用 默认情况下，许多Kubernetes都预定义了一个名为system:aggregate-to-edit的ClusterRole，k8sblockendpointeditdefaultrole策略定义禁止该ClusterRole对Endpoints进行create、patch和update操作。
作用 约束PodSecurityPolicy中的“hostNetwork”和“hostPorts”字段。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters中hostNetwork为true时，使用的端口必须在指定的端口范围内。 apiVersion: constraints
要求具有“spec.replicas”字段的对象（Deployments、ReplicaSets等）在定义的范围内。 策略实例示例 以下策略实例展示了策略定义生效的资源类型，parameters定义范围为3到50。 apiVersion: constraints.gatekeeper.sh/v1beta1
生效资源类型：Pod 参数： exemptImages：字符串数组 作用 容器镜像必须包含digest。 策略实例示例 以下策略实例展示了策略定义生效的资源类型。 apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sImageDigests
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
