chatwork/conftest

Conftest 镜像文档

概述

Conftest是基于Open Policy Agent (OPA) 的策略测试工具，用于验证配置文件（如JSON、YAML、Dockerfile等）是否符合预定义的策略规则。该镜像提供容器化运行方式，便于在开发和CI/CD环境中快速集成配置验证流程。

核心功能与特性

• 多格式支持：兼容JSON、YAML、Dockerfile、Kubernetes manifests等多种配置文件格式
• 策略测试：使用Rego语言编写策略规则，对配置文件进行自动化合规性检查
• 轻量级部署：容器化封装，无需本地安装依赖，直接通过Docker运行
• CI/CD集成：可嵌入持续集成流程，在部署前验证配置变更的策略合规性

使用场景

• 开发环境中本地验证配置文件合规性
• CI/CD流水线中自动化检查配置变更
• Kubernetes资源部署前的策略验证
• 配置文件格式标准化与策略一致性检查

使用方法

基本用法

通过挂载当前工作目录到容器的/work目录，并指定工作目录为/work，执行Conftest命令。

格式化策略文件

bash
docker run --rm -v $PWD:/work -w /work chatwork/conftest:latest fmt .

• --rm：容器退出后自动删除
• -v $PWD:/work：将当前目录挂载到容器内的/work目录
• -w /work：设置容器工作目录为/work
• fmt .：格式化当前目录下的Rego策略文件

测试配置文件

假设当前目录包含配置文件config.yaml和策略文件policy.rego，执行以下命令验证配置合规性：

bash
docker run --rm -v $PWD:/work -w /work chatwork/conftest:latest test config.yaml -p policy.rego

• test config.yaml：指定待测试的配置文件
• -p policy.rego：指定策略文件路径

常用命令

• fmt：格式化Rego策略文件，确保语***范
• test：执行策略测试，验证配置文件合规性
• verify：检查策略文件语法正确性
• help：查看命令帮助信息

Docker Compose配置示例

创建docker-compose.yml文件：

yaml
version: '3'
services:
  conftest:
    image: chatwork/conftest:latest
    volumes:
      - ./:/work  # 挂载当前目录到容器工作目录
    working_dir: /work
    command: test config.yaml -p policy  # 测试config.yaml，使用policy目录下的策略

运行测试：

bash
docker-compose run --rm conftest