Renforcer la sécurité de votre cluster Kubernetes avec OPA Gatekeeper

La conformité et la sécurité des clusters Kubernetes nécessitent un contrôle fin des ressources. OPA Gatekeeper associe policy-as-code et Kubernetes en utilisant les Custom Resource Definitions (CRD) ConstraintTemplate et Constraint pour valider et faire respecter les politiques au moment de la création ou modification.

Si vous débutez avec Kubernetes, consultez d'abord notre guide d'introduction aux concepts fondamentaux de Kubernetes.

• Un cluster Kubernetes (>=1.16)
• kubectl configuré
• Helm 3 (optionnel)
• kubectl get crd | grep constraints.gatekeeper.sh pour vérifier l'absence préalable de Gatekeeper

1. Installer via Helm

helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts
helm repo update
helm install gatekeeper gatekeeper/gatekeeper   --namespace gatekeeper-system --create-namespace   --version v3.16.0

2. Vérifier les pods

kubectl get pods -n gatekeeper-system

Exemple : interdire les conteneurs :latest

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
  name: k8sallowedrepos
spec:
  crd:
    spec:
      names:
        kind: K8sAllowedRepos
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sallowedrepos
        violation[{"msg": msg}] {
          input.review.object.spec.containers[_].image =~ ".*:latest"
          msg := "L'utilisation de tags :latest est interdite."
        }

kubectl apply -f constrainttemplate.yaml

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRepos
metadata:
  name: disallow-latest
spec:
  enforcementAction: deny

kubectl apply -f constraint.yaml

kubectl run nginx-latest --image=nginx:latest --restart=Never
# Échec avec message "L'utilisation de tags :latest est interdite."

1. Rédiger des policies simples puis complexifier
2. Versionner vos ConstraintTemplate et Constraint
3. Superviser les violations avec ConstraintViolations
4. Automatiser via pipelines CI (OPA test)
5. Auditer régulièrement les policies

Pour une défense en profondeur, complétez OPA Gatekeeper avec le scanning des images Docker avec Trivy et sécurisez votre réseau Kubernetes avec Cilium pour une visibilité et un contrôle réseau avancés.

OPA Gatekeeper permet d'intégrer la sécurité déclarative directement dans Kubernetes, garantissant que seules les ressources conformes sont déployées, tout en gardant flexibilité et transparence.