datree/admission-webhook

Datree准入Webhook

概述

Datree提供集群集成功能，通过准入Webhook（admission webhook）在资源推送到集群时对其进行策略验证。

Webhook会捕获kubectl的create、apply和edit操作，并对每个操作关联的资源启动策略检查。如果发现任何配置错误，Webhook将拒绝该操作，并显示包含每个错误解决说明的详细输出。

规格

Webhook官方支持Kubernetes 1.19及更高版本，并已在EKS环境中测试通过。

安装

前提条件

机器上需安装以下应用：

• kubectl
• openssl - 用于创建证书颁发机构（CA）
• curl

安装步骤

复制以下命令并在终端中运行：

bash
bash <(curl https://get.datree.io/admission-webhook)

【注意】 上述链接在安装过程中会提示输入Datree令牌。
若要无提示安装，可在安装命令中提供令牌，在终端运行：

bash
DATREE_TOKEN=[your-token] bash <(curl https://get.datree.io/admission-webhook)

使用方法

Webhook安装完成后，每次被捕获的操作都会触发Datree策略检查。
如果发现配置错误，将显示以下输出：

!image

如果未发现配置错误，资源将正常应用/更新。

行为配置

Webhook的行为通过webhook-server资源进行配置。
支持以下设置：

修改行为的步骤：

1. 在仓库中创建包含以下内容的YAML文件：

yaml
spec:
  template:
    spec:
      containers:
        - name: server
          env:
            - name: DATREE_POLICY
              value: ""
            - name: DATREE_VERBOSE
              value: ""
            - name: DATREE_OUTPUT
              value: ""
            - name: DATREE_NO_RECORD
              value: ""

2. 根据需求修改设置值。
3. 运行以下命令将更改应用到Webhook资源：

bash
kubectl patch deployment webhook-server -n datree --patch-file /path/to/patch/file.yaml

🤫 由于令牌敏感，不建议保存在仓库中，建议通过单独的kubectl patch命令设置/修改：

yaml
kubectl patch deployment webhook-server -n datree -p '
spec:
  template:
    spec:
      containers:
        - name: server
          env:
            - name: DATREE_TOKEN
              value: "<your-token>"'

将<your-token>替换为实际令牌，复制完整命令并在终端运行。

卸载

要卸载Webhook，复制以下命令并在终端运行：

bash
bash <(curl https://get.datree.io/admission-webhook-uninstall)

本地开发

要在本地（开发环境）运行Webhook，请查看开发者指南。