Introduce Conftest

Transcript

1. CloudNative Days Tokyo 2020
 
 
 RegoによるOPAポリシーの開発と
 Conftestを活用したポリシーチェックの実現
 
 Merpay SRE
 Takaaki Yuhara

2. Agenda
 Conftest利用の背景
 Regoで記述したポリシーとConftestの活用
 ポリシーの開発とテスト
 01 02 03
3. Conftest利用の背景
 Regoで記述したポリシーとConftestの活用
 ポリシーの開発とテスト
 01 02 03
4. メルペイのシステム概要
 • マイクロサービスアーキテクチャ
 • Google Cloud Platform(GCP)を利用
 • アプリケーションはKubernetes上で稼働
 • マイクロサービスはそれぞれ下記が割り当てられる
 ◦ GCP Project
 ◦ Kubernetes Namespace

5. 構成とフローの概略図
 Kubernetes Project Project A Project B Service A Team Service B Team Repository(GCP) Namespace A Namespace B Repository(k8s) Cloud Spanner Cloud Spanner Cloud Pub/Sub BigQuery Kubernetes Cluster CircleCI YAML HCL (Terraform)
6. Production Readiness Checklist
 • サービスを安全にリリースするためのチェックリスト
 • マイクロサービスのリリース前にチェックを行う
 • 例）
 ◦ Kubernetes
 ▪ CPUやMemoryのrequestsとlimits 
 ▪ preStop
 ▪ livenessProbe / readinessProbe
 ▪ runAsNonRoot
 ▪ HorizontalPodAutoscaler
 ▪ PodDisruptionBudget
 ◦ GCP
 ▪ Databaseのバックアップ
 ▪ Cloud StorageのObject Lifecycle Management 

7. Open Policy Agent(OPA)
 https://www.openpolicyagent.org/docs/latest/ • OSSの汎用ポリシーエンジン
 • CNCFのincubatingのプロジェクト
 • Regoというポリシー記述言語で
 ポリシーを書く
 • ポリシーと入力されたデータを評価し結 果を返す

8. Gatekeeper
 • Gatekeeper
 ◦ OPAをKubernetes上で使えるよう にしたもの
 ◦ KubernetesのAdmission Controllerと連携してOPAを利用
 ◦ Webhook先をOPAにすることで API Server側でポリシーチェック
 https://www.openpolicyagent.org/docs/latest/kubernetes-introduction/
9. Gatekeeper
 • ConstraintTemplateとConstraint
 というCRDでポリシーを定義
 • Regoによるポリシーは
 ConstraintTemplate内に記述
 https://github.com/open-policy-agent/gatekeeper
10. Conftest
 • Regoで記述したポリシーと入力データをコマンドラインで検証するツール
 • CI上で使われることを想定している
 • リモートにあるRegoのポリシーを利用できる
 • 様々なフォーマットに対応
 ❏ YAML ❏ JSON ❏ INI ❏ TOML ❏ HOCON ❏ HCL ❏ HCL1
 ❏ CUE ❏ Dockerfile ❏ EDN ❏ VCL ❏ XML ❏ Jsonnet

11. なぜConftestを使い始めたか
 • もともとCIでterraform planやkubectl validate/dry-runでの失敗を通知していて、ポ リシーチェックも導入しやすかった
 • Conftestが様々なフォーマットに対応している
 ◦ GCPのクラウドリソースはHCL形式のTerraformで管理
 ◦ KubernetesのマニフェストはYAMLで管理
 • KubernetesではRegoで記述したポリシーをCIとAPI Server側で両側面でチェックで きる
 ◦ CI時のチェックはConftest
 ◦ API Server側でのチェックはGatekeeper

12. Conftest利用の背景
 Regoで記述したポリシーとConftestの活用
 ポリシーの開発とテスト
 01 02 03
13. テストシナリオ
 • 例）HorizontalPodAutoscalerのspec.minReplicasが3以上であること
 apiVersion: autoscaling/v2beta2 kind: HorizontalPodAutoscaler metadata: name: php-apache spec: scaleTargetRef: apiVersion: apps/v1 kind: Deployment name: php-apache minReplicas: 3 maxReplicas: 10 metrics: - type: Resource resource: 　　　　　　＜以下、省略＞ minReplicasが省略されていたり、
 値が3未満の場合は事前に気付きたい 

14. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } • 例）HorizontalPodAutoscalerのspec.minReplicasが3以上であること

15. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } package名は任意。

16. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } ルール名は deny, violation, warn を使うことができる。 
 deny, violationではルールに合致するとExit codeが1, warnではルールに合致してもExit codeが0 
 ルール名をviolation_xxxなどのように指定してもOK 
 

17. デバッグ時の出力
 内部でdata.<package名>.<ルール名> という形で扱われているためルール名を分けておくと便利 

18. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } ルールに合致した場合に返す値 

19. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } 入力データ（input）のkindがHorizontalPodAutoscalerであるか評価 
 (Gatekeeperでは入力データが input.review.objectなのでConftestとGatekeeper両方でポリシーを使う場合は入 力データを評価するような判定を入れると良い) 

20. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } input.spec.minReplicas が3以上であればgoodという変数にtrueが代入。3未満ならfalseが代入される。 

21. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } パイプの左のgoodという変数に値を渡しています。つまりsatisfiedは要素が1つのarrayとなります。ただし minReplicasが省略されている場合はgoodが空なのでsatisfiedは要素が0のarrayです。 
 satisfied minReplicasが3以上 [true] minReplicasが3未満 [false] minReplicasが省略 []
22. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } any関数でsatisfied内に1つでもtrueがある場合はtrueとなる。 
 satisfied any(satisfied) minReplicasが3以上 [true] true minReplicasが3未満 [false] false minReplicasが省略 [] false
23. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } spec.minReplicasが3以上でない場合を条件として合致させたいため、否定のnotを使用 
 satisfied any(satisfied) not any(satisfied) minReplicasが3以上 [true] true false minReplicasが3未満 [false] false true minReplicasが省略 [] false true
24. Regoでポリシーを記述
 package hpa description := "This is production readiness check itme, please check http://~" violation_min_replicas_is_not_set[{"msg": msg, "description": description}] { input.kind = "HorizontalPodAutoscaler" satisfied := [good | good := input.spec.minReplicas >= 3] not any(satisfied) msg := sprintf("minReplicas in HorizontalPodAutoscaler %s must be set", [input.metadata.name]) } 最後にmsgを生成

25. コマンド実行時の出力(JSON)
 [ { "filename": "sample-hpa.yaml", "warnings": [], "failures": [ { "msg": "minReplicas in HorizontalPodAutoscaler sample must be set", "metadata": { "description": "This is a production readiness check item, please check https://~" } } ], "successes": [] } ] $ conftest test --policy policy/hpa --namespace hpa --input yaml --output json sample-hpa.yaml ConftestをCIに組み込んで、
 適切な情報をディベロッパーにフィードバック

26. Agenda
 Conftest利用の背景
 Regoで記述したポリシーとConftestの活用
 ポリシーの開発とテスト
 01 02 03
27. ポリシーの開発とテスト
 • OPAではポリシーをコードで開発、運用できる（Policy as Code）
 • Regoのポリシーをテストするフレームワークがある
 • テスト用のルールはtest_xxxとする
 • withキーワードを使って入力データをMockのデータに置き換えできる
 package hpa msg := "minReplicas in HorizontalPodAutoscaler sample must be set" test_min_replicas_less_than_three { violation_min_replicas_is_not_set[{"msg": msg, "description": description}] with input as { "kind": "HorizontalPodAutoscaler", "metadata": {"name": "php-apache"}, "spec": {"maxReplicas": 10, "minReplicas": 1} } }
28. テスト実行
 • opa testコマンドを使ってテストを実行
 • --coverage --format=jsonオプションをつけるとカバレッジも報告される
 $ opa test -v hpa.rego hpa_test.rego data.hpa.test_min_replicas_less_than_three: PASS (2.977518ms) -------------------------------------------------------------------------------- PASS: 1/1 $ opa test --coverage --format=json hpa.rego hpa_test.rego | jq .coverage 60
29. まとめ
 • Production Readiness Checklistを適切にチェックし安全にリリースするためにOpen Policy AgentのConftestを利用し始めた
 • KubernetesのYAML manifestやTerraformのHCL等をCIでチェック
 • Regoで記述したポリシーのテストもCIで実施

30. • 本日の内容は、下記のブログでも紹介しています
 https://engineering.mercari.com/blog/entry/introduce_conftest/