init

2026-04-18 10:43:01 +07:00
parent 5ee121d49a
commit 9342806c3f
5 changed files with 142 additions and 1 deletions
@@ -0,0 +1,57 @@
+# Другие варианты проверок
+# 
+# проверить, что PVC использует StorageClass из одобренного списка:
+# 
+rules:
+- name: check-storage-class
+  match:
+    resources:
+      kinds:
+      - PersistentVolumeClaim
+  context:
+  - name: storageClassInfo
+    apiCall:
+      urlPath: "/apis/storage.k8s.io/v1/storageclasses/{{ request.object.spec.storageClassName }}"
+      jmesPath: "metadata.labels.\"approved-for-production\""
+  validate:
+    message: >-
+      StorageClass '{{ request.object.spec.storageClassName }}' не одобрена для production.
+      Используйте StorageClass с лейблом approved-for-production: "true"
+    deny:
+      conditions:
+      - key: "{{ storageClassInfo }}"
+        operator: NotEquals
+        value: "true"
+        
+# проверить, что количество реплик не превышает кворум с учётом текущей нагрузки:
+# 
+context:
+- name: existingDeployments
+  apiCall:
+    urlPath: >-
+      /apis/apps/v1/namespaces/{{ request.object.metadata.namespace }}/deployments
+    jmesPath: "items[?metadata.name != '{{ request.object.metadata.name }}'] | length(@)"
+validate:
+  message: >-
+    В namespace уже {{ existingDeployments }} деплойментов.
+    Максимум разрешено 20.
+  deny:
+    conditions:
+    - key: "{{ existingDeployments }}"
+      operator: GreaterThanOrEquals
+      value: "20"
+      
+# принимать решения на основе состояния нод
+# 
+context:
+- name: nodesInfo
+  apiCall:
+    urlPath: "/api/v1/nodes"
+    jmesPath: "items[?metadata.labels.\"node-type\" == 'gpu'].metadata.name"
+validate:
+  message: "GPU workloads требуют минимум 2 GPU-ноды в кластере"
+  deny:
+    conditions:
+    - key: "{{ length(nodesInfo) }}"
+      operator: LessThan
+      value: "2"
@@ -49,4 +49,4 @@ spec:
            operator: AllNotIn
            value:
            - emergency-deployers
-            - system:masters
+            - system:masters
@@ -0,0 +1,33 @@
+# Полезный паттерн — разные правила для CREATE и UPDATE
+
+rules:
+- name: validate-on-create-only
+  match:
+    resources:
+      kinds:
+      - Deployment
+  preconditions:
+    any:
+    - key: "{{ request.operation }}"
+      operator: Equals
+      value: CREATE
+  validate:
+    # применяется только при создании
+
+- name: validate-image-on-update
+  match:
+    resources:
+      kinds:
+      - Deployment
+  preconditions:
+    all:
+    - key: "{{ request.operation }}"
+      operator: Equals
+      value: UPDATE
+    - key: >-
+        {{ request.object.spec.template.spec.containers[0].image }}
+      operator: NotEquals
+      value: >-
+        {{ request.oldObject.spec.template.spec.containers[0].image }}
+  validate:
+    # применяется только при UPDATE с изменением образа