aibangjuxin GKE Policy Controller TEP Coverage Analysis Pattern
何时使用
当需要执行以下任务时使用本模式：
- 对比 GKE Policy Controller 安装后的 Constraint Template (TEP) 列表与自定义策略设计文档
- 生成 GKE 内置 TEP vs 自定义策略的覆盖度分析表
- 为
step-by-step-install.md中的原始 TEP 列表补充描述
典型输入
| 文件 | 内容 |
|---|---|
step-by-step-install.md |
GKE Policy Controller 安装记录，Section 5.4 含 82 个 TEP 名称列表（原始无描述） |
policy-layer.md |
自定义策略设计文档，55 条策略含分层模型（L1 平台全局 / L2 租户可调） |
分析维度
覆盖率匹配度定义
| 匹配度 | 含义 |
|---|---|
| ✅ 精确匹配 | GKE TEP 名称/功能与 Policy-Layer 策略一一对应，可直接使用 |
| 🟡 部分覆盖 | 可通过扩展参数或组合多个 TEP 实现同等效果 |
| 🔴 无覆盖 | Policy-Layer 策略在 GKE TEP 中无对应，需自定义 ConstraintTemplate |
Policy-Layer 分类统计维度
按类别统计：Container — Deny/Whitelist/Capabilities/Image, Pod — Deny/Whitelist, RBAC, DNS, Gateway, Ingress, Namespace, PersistentVolume, StorageClass, ASM, CRD, Certificate, Flux, Prometheus 等。
输出文件
1. 覆盖度分析文档
创建 gke-policy-control-with-tep.md，包含：
- 第1章：GKE TEP 完整列表 + 每个 TEP 的中文描述（按 PSP/通用/ASM/GCP/网络安全分组）
- 第2章：Policy-Layer 与 GKE TEP 映射表（精确匹配 / 部分覆盖 / 无覆盖 三级）
- 第3章：汇总统计表（按类别统计覆盖率）+ 高优先级待自定义清单
- 第4章：分阶段实施建议
2. 更新的安装文档
在 step-by-step-install.md 的 ### Check Installed Constraint Templates 节：
- 将原始 TEP 列表（只有 NAME 和 AGE 两列）更新为三列格式：NAME / AGE / DESCRIPTION
- 在表格末尾添加分组说明（PSP 19个 / Kubernetes 通用 39个 / ASM 10个 / GCP 3个 / 网络安全类）
3. GKE TEP 描述参考
PSP 相关（19个）
| 模板名称 | 描述 |
|---|---|
| k8spspprivilegedcontainer | 禁止运行特权容器（privileged: true） |
| k8spspallowprivilegeescalationcontainer | 禁止容器启用 privilege escalation |
| k8spspapparmor | 要求容器必须使用已批准的 AppArmor Profile |
| k8spspautomountserviceaccounttokenpod | 禁止 Pod 自动挂载 ServiceAccount Token |
| k8spspcapabilities | 限制容器可添加的 Linux capabilities |
| k8spspflexvolumes | 白名单允许的 FlexVolume driver 路径 |
| k8spspforbiddensysctls | 禁止使用特定的 sysctl 参数 |
| k8spspfsgroup | 要求 Pod 必须指定 fsGroup |
| k8spsphostfilesystem | 限制容器对宿主机文件系统目录的访问 |
| k8spsphostnamespace | 禁止 Pod 使用宿主机 PID/IPC/Network 命名空间 |
| k8spsphostnetworkingports | 禁止 Pod 使用宿主机网络端口（hostPort） |
| k8spspprocmount | 限制容器对宿主进程空间的挂载 |
| k8spspreadonlyrootfilesystem | 要求容器根文件系统必须为只读 |
| k8spspseccomp | 要求 Pod/容器必须使用已批准的 Seccomp Profile |
| k8spspselinuxv2 | 要求容器必须指定 SELinux 安全上下文 |
| k8spspvolumetypes | 白名单允许的 volume 类型 |
| k8spspwindowshostprocess | 禁止 Windows 容器使用宿主进程 |
| k8spssrunasnonroot | 要求容器必须声明为非 root 运行 |
| k8spspallowedusers | 限制 Pod 运行的用户 UID 范围 |
Kubernetes 通用（节选）
| 模板名称 | 描述 |
|---|---|
| k8sallowedrepos | 白名单允许的容器镜像仓库 |
| k8snoenvvarsecrets | 禁止将 Secret 挂载为容器环境变量 |
| k8srequiredlabels | 要求命名空间必须包含特定 labels |
| k8scontainerlimits | 要求容器必须设置 CPU 和 Memory 的 limits |
| k8srequiredprobes | 要求容器必须配置 liveness 和 readiness probe |
| k8shttpsonly | 要求 Ingress 必须使用 HTTPS |
| k8simagedigests | 要求镜像必须指定 SHA256 digest |
| ... | ... |
ASM/Anthos Service Mesh（10个）
| 模板名称 | 描述 |
|---|---|
| asmpeerauthnstrictmtls | 要求 PeerAuthentication 必须设置 STRICT mTLS |
| asmsidecarinjection | 要求命名空间必须启用/禁用 Istio sidecar injection |
| destinationruletlsenabled | 要求 DestinationRule 必须启用 TLS |
| ... | ... |
关键结论模板
每次分析应产出：
核心发现：Policy-Layer 的 N 条策略中，仅约 X% 可直接通过 GKE Policy Controller 内置模板实现。
剩余 Y% 需要自定义 Gatekeeper Constraint Templates，主要集中在 [ASM/Gateway/DNS/容器安全] 领域。
建议优先实现高优先级的 N 个自定义模板以覆盖最关键的安全需求。
同步流程
# 1. 复制到 gcp 仓库并提交
cp gke-policy-control-with-tep.md ~/git/gcp/OPA-Gatekeeper/
cp step-by-step-install.md ~/git/gcp/OPA-Gatekeeper/
cd ~/git/gcp
git add OPA-Gatekeeper/gke-policy-control-with-tep.md OPA-Gatekeeper/step-by-step-install.md
git commit -m "docs(OPA-Gatekeeper): add TEP comparison analysis and template descriptions"
git push
# 2. 复制到 knowledge 仓库并提交
cp gke-policy-control-with-tep.md ~/git/knowledge/OPA-Gatekeeper/
cp step-by-step-install.md ~/git/knowledge/OPA-Gatekeeper/
cd ~/git/knowledge
git add OPA-Gatekeeper/gke-policy-control-with-tep.md OPA-Gatekeeper/step-by-step-install.md
git commit -m "docs(OPA-Gatekeeper): add TEP comparison analysis and template descriptions"
git push
已知数据（截至 2026-05-08）
- GKE Policy Controller TEP 总数：82 个（v1.23.1）
- Policy-Layer 策略总数：55 条
- 精确匹配：14 条（25%）
- 部分覆盖：11 条（20%）
- 需完全自定义：30 条（55%）
- PSP 相关：19 个 TEP（全覆盖）
- ASM 相关：10 个 TEP（Policy-Layer 无 ASM 策略）
相关 Skill
gatekeeper-multi-tenant-governance: 多租户治理，包含豁免机制和 per-tenant Constraint 设计gatekeeper-constraints: ConstraintTemplate 探索文档编写规范