#k8sjp Kubewarden を使って 任意の言語でポリシを書こう チェシャ猫 (@y_taka_23) Kubernetes Meetup Tokyo #42 (24th Jun. 2021)

#k8sjp Policy as Code、やってますか？

#k8sjp

#k8sjp OPA

#k8sjp Open Policy Agent (OPA) ● 現在の最有力ツール ○ Kubernetes に限らない汎用エンジン ○ Gatekeeper を介して Kubernetes と統合 ● ポリシの記述には Rego 言語を使用 ○ Datalog (Prolog) をベースとした言語 ○ 馴染みがなく、学習コストが高くて辛い

#k8sjp Kyverno

#k8sjp Kyverno ● 2020 年 11 月に CNCF 入り ○ Kubernetes 上での利用が前提 ● ポリシの記述には YAML を利用 ○ OPA のように Manifest に他の言語を埋め込む必要がない ○ =() で等価判定、+() で追加などの演算子を利用 ○ 複雑なロジックを YAML で書くには表現力の限界が辛い

#k8sjp Kubewarden

#k8sjp Kubewarden ● 2021 年 4 月にファーストリリース ○ これも Kubernetes 上での利用が前提 ● ポリシの記述には WebAssembly を利用 ○ OPA と違って Rego を改めて学ぶ必要がない ○ Kyverno と違ってロジックがプログラミングできる ○ ビルドされた Wasm は OCI レジストリで配布可能

#k8sjp apiVersion: policies.kubewarden.io/v1alpha2 kind: ClusterAdmissionPolicy metadata: name: psp-capabilities spec: module: registry://ghcr.io/kubewarden/policies/psp-capabilities:v0.1.3 rules: - apiGroups: [""] apiVersions: ["v1"] resources: ["pods"] operations: - CREATE - UPDATE mutating: true settings: Allowed_capabilities: - CHOWN Required_drop_capabilities: - NET_ADMIN

#k8sjp apiVersion: policies.kubewarden.io/v1alpha2 kind: ClusterAdmissionPolicy metadata: name: psp-capabilities spec: module: registry://ghcr.io/kubewarden/policies/psp-capabilities:v0.1.3 rules: - apiGroups: [""] apiVersions: ["v1"] resources: ["pods"] operations: - CREATE - UPDATE mutating: true settings: Allowed_capabilities: - CHOWN Required_drop_capabilities: - NET_ADMIN ビルド・アップロード済みの Wasm ポリシを指定 （ここでは公式が配布しているものを指定）

#k8sjp apiVersion: policies.kubewarden.io/v1alpha2 kind: ClusterAdmissionPolicy metadata: name: psp-capabilities spec: module: registry://ghcr.io/kubewarden/policies/psp-capabilities:v0.1.3 rules: - apiGroups: [""] apiVersions: ["v1"] resources: ["pods"] operations: - CREATE - UPDATE mutating: true settings: Allowed_capabilities: - CHOWN Required_drop_capabilities: - NET_ADMIN ポリシの適用対象の指定

#k8sjp apiVersion: policies.kubewarden.io/v1alpha2 kind: ClusterAdmissionPolicy metadata: name: psp-capabilities spec: module: registry://ghcr.io/kubewarden/policies/psp-capabilities:v0.1.3 rules: - apiGroups: [""] apiVersions: ["v1"] resources: ["pods"] operations: - CREATE - UPDATE mutating: true settings: Allowed_capabilities: - CHOWN Required_drop_capabilities: - NET_ADMIN ポリシの実装者が自由に 指定できるパラメータ

#k8sjp https://docs.kubewarden.io/architecture.html

#k8sjp https://docs.kubewarden.io/architecture.html あらかじめクラスタに Kubewarden Controller をデプロイ

#k8sjp https://docs.kubewarden.io/architecture.html ユーザが Policy の Manifest を apply

#k8sjp https://docs.kubewarden.io/architecture.html Policy Server を立ち上げ Wasm モジュールを DL、読み込み

#k8sjp https://docs.kubewarden.io/architecture.html Admission Webhook を作成

#k8sjp https://docs.kubewarden.io/architecture.html リソースに対する Policy のチェック

#k8sjp WebAssebmly 自体、学習コスト高くない？

#k8sjp Go による Kubewarden の利用 ● TinyGo で Wasm にビルド、そこまで難しくない ○ テンプレートを git clone して make すれば OK ○ encoding/json が使えない（gjson で代用）等の制限あり ● 運用は管理用ツール kwctl が隠蔽 ○ ビルドした Wasm の状態での pre-deploy テスト ○ メタデータ付加や OCI レジストリへのアップロード

#k8sjp package main import ( wapc "github.com/wapc/wapc-guest-tinygo" ) func main() { wapc.RegisterFunctions(wapc.Functions{ "validate_settings": validateSettings, "validate": validate, }) } func validateSettings(payload []byte) ([]byte, error) { ... } func validate(payload []byte) ([]byte, error) { ... }

#k8sjp package main import ( wapc "github.com/wapc/wapc-guest-tinygo" ) func main() { wapc.RegisterFunctions(wapc.Functions{ "validate_settings": validateSettings, "validate": validate, }) } func validateSettings(payload []byte) ([]byte, error) { ... } func validate(payload []byte) ([]byte, error) { ... } Policy Server から waPC (WebAssembly Procedure Call) で プラグイン的に呼び出される

#k8sjp package main import ( wapc "github.com/wapc/wapc-guest-tinygo" ) func main() { wapc.RegisterFunctions(wapc.Functions{ "validate_settings": validateSettings, "validate": validate, }) } func validateSettings(payload []byte) ([]byte, error) { ... } func validate(payload []byte) ([]byte, error) { ... } Policy 自体の作成時、 パラメータのバリデーション

#k8sjp package main import ( wapc "github.com/wapc/wapc-guest-tinygo" ) func main() { wapc.RegisterFunctions(wapc.Functions{ "validate_settings": validateSettings, "validate": validate, }) } func validateSettings(payload []byte) ([]byte, error) { ... } func validate(payload []byte) ([]byte, error) { ... } Policy が作用する リソースのバリデーション

#k8sjp まとめ ● Policy as Code のツール選択 ○ 既存の OPA / Kyverno はポリシの記述にそれぞれ難あり ● 新登場の第三極ツール Kubewarden ○ WebAssembly でポリシを記述、OCI レジストリで配布 ○ 理論上は WebAssembly を出力する任意の言語が利用可 ○ Kubernetes コミュニティなら Go のスキルが活かせる

#k8sjp Build, Ship and Enforce Anywhere! Presented by チェシャ猫 (@y_taka_23)