Weaveworks Policy Agent 镜像文档

镜像概述

Weaveworks Policy Agent 是一款由Weaveworks开发的策略执行工具，主要用于在容器编排环境（如Kubernetes）中通过执行Rego策略（Open Policy Agent的策略语言）控制资源准入流程。该工具通过拦截并检查资源创建/更新请求，确保只有符合策略的资源能够进入集群，从而提升系统安全性与合规性。

核心功能与特性

核心功能

• Rego策略执行：原生支持Rego策略语言，可灵活定义资源检查规则
• 资源准入控制：集成准入控制器机制，在资源创建/更新阶段实时执行策略检查
• 违规拦截：对违反策略的资源请求进行阻断，防止不合规资源进入系统
• 策略热更新：支持策略文件动态加载，无需重启代理即可应用新策略

关键特性

• 轻量级部署：容器化设计，资源占用低，适合各类规模集群
• 审计支持：可记录策略检查结果，支持合规审计与问题追溯
• 多环境兼容：适配Kubernetes及其他支持准入控制的容器平台
• 可扩展架构：支持自定义策略扩展与第三方系统集成（如日志、监控平台）

使用场景与适用范围

典型使用场景

• Kubernetes集群安全加固：强制执行最小权限原则、镜像来源验证、资源配额限制等安全策略
• 合规性管理：满足行业合规标准（如PCI-DSS、GDPR）对资源配置的强制要求
• 资源访问控制：限制敏感资源（如Secret、ConfigMap）的创建权限与访问范围
• DevSecOps集成：在CI/CD流水线末端添加策略检查环节，实现"左移安全"

适用环境

• Kubernetes集群（v1.16+）
• 需执行细粒度资源控制的生产环境
• 对合规性与安全性有严格要求的企业级应用

使用方法与配置说明

部署前提

• 容器运行时环境（Docker/containerd）
• Kubernetes集群（推荐，需配置准入控制器）
• 策略文件目录（存放Rego策略文件）

Docker快速启动

docker run -d \
  --name weave-policy-agent \
  -v /local/policy/dir:/policies \  # 挂载本地策略目录
  -e POLICY_DIR=/policies \          # 指定容器内策略目录
  -e LOG_LEVEL=info \                # 设置日志级别
  -e KUBE_API_URL=[***] \  # Kubernetes API地址
  -p 8080:8080 \                     # 暴露策略检查API端口
  weaveworks/policy-agent:latest

Kubernetes部署（推荐）

1. 准备策略配置

创建包含Rego策略的ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: rego-policies
  namespace: weave-system
data:
  allow-only-approved-images.rego: |
    package kubernetes.admission

    default allow = false

    allow {
      input.request.kind.kind == "Pod"
      [_, image] := split(input.request.object.spec.containers[0].image, ":")
      image == "approved-registry.example.com/app"
    }

2. 部署代理

apiVersion: apps/v1
kind: Deployment
metadata:
  name: weave-policy-agent
  namespace: weave-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: policy-agent
  template:
    metadata:
      labels:
        app: policy-agent
    spec:
      containers:
      - name: policy-agent
        image: weaveworks/policy-agent:latest
        volumeMounts:
        - name: policy-volume
          mountPath: /policies
        env:
        - name: POLICY_DIR
          value: "/policies"
        - name: LOG_LEVEL
          value: "info"
        - name: SERVER_PORT
          value: "8080"
        ports:
        - containerPort: 8080
      volumes:
      - name: policy-volume
        configMap:
          name: rego-policies

3. 配置准入控制器

通过Kubernetes Admission Webhook将策略检查集成到资源准入流程：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: weave-policy-agent-webhook
webhooks:
- name: policy-agent.weaveworks.com
  clientConfig:
    service:
      name: policy-agent-service
      namespace: weave-system
      path: /validate
    caBundle: <CA_BUNDLE>  # 替换为实际CA证书
  rules:
  - apiGroups: [""]
    apiVersions: ["v1"]
    resources: ["pods"]
    operations: ["CREATE", "UPDATE"]
    scope: "Namespaced"
  admissionReviewVersions: ["v1"]
  sideEffects: None
  timeoutSeconds: 5

核心配置参数

注意事项

1. 策略验证：使用opa eval命令预先验证Rego策略语法正确性，避免因策略错误导致服务异常
2. 权限配置：在Kubernetes环境中，需为代理授予足够的RBAC权限以访问集群资源信息
3. 高可用部署：生产环境建议部署多副本，并配置PodDisruptionBudget确保服务可用性
4. 性能考量：大量复杂策略可能增加资源检查延迟，建议定期优化策略复杂度并监控性能指标