gatekeeper

Gatekeeper 是 Kubernetes 集群里的一位“合规管家”，专门帮团队把安全、资源、运维等各种策略“焊死”在集群中，让每一个部署的资源都乖乖听话。有了它，运维和安全团队再也不用靠人工翻来覆去地检查 yaml 文件，或者写一堆复杂难维护的 webhook 脚本。核心价值就是让策略自动化、标准化，防止“违规”容器逃过审查，比如阻止特权容器、强制打上合规标签、限制资源上限等，从而大幅降低集群被误操作或攻击的风险。 技术亮点方面，Gatekeeper 是建立在 OPA（开放策略代理）之上的，但比直接用 OPA 多了很多“原生”能力。首先，它把策略变成了 Kubernetes 自己的 CRD（自定义资源），你可以像创建 Deployment 一样创建“约束模板”和“约束”实例，完全融入 K8s 生态。其次，它自带一个可参数化的策略库，很多常见策略（比如禁止 root 用户、不允许挂载宿主机目录）开箱即用，还能根据业务场景调整参数。它支持审计功能，能定期扫描集群中所有已经运行的和待创建的资源，生成违规报告，这样即使策略前存在的“历史遗留问题”也能被揪出来。另外还有突变支持，可以自动给新部署的资源添加或修改字段，比如自动注入 sidecar 代理或者补全标签。外部数据支持则允许策略访问集群外的数据库或 API，让策略更加智能。 适用场景非常广泛。如果你是平台工程团队的成员，想给多个业务团队提供自服务 K8s 环境但又要管控安全基线，Gatekeeper 就是现成的工具。安全团队可以用它来做合规认证（比如 PCI-DSS、SOC2），确保没有容器越界操作。运维团队可以设定资源配额和限流策略，防止某个人滥用导致集群爆满。对初创公司来说，它也能快速建立内部规范，减少因配置错误导致的生产事故。 上手难度中等偏下。如果你已经熟悉 Kubernetes 的基本操作（比如创建 Pod、使用 Helm），安装 Gatekeeper 只需几条命令。常用的策略从官方策略库里复制粘贴就能用。但如果要编写自定义策略，需要学习 OPA 的 Rego 语言，语法略有门槛，不过官方文档、社区示例都很丰富，加上 Go 写的控制器性能好、稳定性高，整体对有一定 K8s 经验的开发者很友好。新手建议从已有策略模板开始，逐渐再尝试定制。