OPA 번들 서버 + GitOps로 구현하는 Kubernetes Policy-as-Code 실전 가이드

Git push → GitHub Actions (opa test → opa build → s3 cp)
    → S3 번들 서버 → OPA 폴링(10~30초 주기) → 클러스터 정책 실시간 반영

# policies/k8s/no_latest_tag.rego
# 이 정책은 kube-mgmt 패턴의 OPA Admission Webhook용입니다.
# input.request 구조체를 통해 Kubernetes 요청 원문에 접근합니다.
package kubernetes.admission
 
deny[msg] {
  input.request.kind.kind == "Pod"
  # [_]는 Rego의 와일드카드 이터레이션 문법입니다 — 배열의 모든 요소를 순회합니다.
  container := input.request.object.spec.containers[_]
  endswith(container.image, ":latest")
  msg := sprintf("컨테이너 '%v'는 latest 태그를 사용할 수 없습니다.", [container.name])
}

# policies/ 디렉터리의 모든 Rego 파일과 data.json을 번들로 패키징합니다.
# -b(--bundle) 플래그는 .rego 파일뿐 아니라 data.json 등 정적 데이터도 함께 포함합니다.
opa build -b policies/ -o bundle.tar.gz

opa-policies/
├── policies/
│   ├── k8s/
│   │   ├── no_latest_tag.rego
│   │   └── require_resource_limits.rego
│   └── rbac/
│       └── role_binding_rules.rego
├── tests/
│   └── k8s_test.rego
└── .github/workflows/
    └── deploy-bundle.yml

# .github/workflows/deploy-bundle.yml
name: Build and Deploy OPA Bundle
 
on:
  push:
    branches: [main]
    paths: ['policies/**']
 
jobs:
  test-and-deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      - name: Setup OPA
        uses: open-policy-agent/setup-opa@v2
        with:
          # 프로덕션 환경에서는 재현성을 위해 'latest' 대신 특정 버전을 고정하는 것을 권장합니다.
          # 예: version: "0.68.0"
          version: latest
 
      - name: Run policy tests
        run: opa test policies/ tests/ -v
 
      - name: Build OPA bundle
        run: opa build -b policies/ -o bundle.tar.gz
 
      - name: Upload to S3
        run: aws s3 cp bundle.tar.gz s3://my-opa-bundles/latest/bundle.tar.gz
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

# opa-config.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: opa-config
data:
  config.yaml: |
    services:
      bundle-server:
        url: https://s3.amazonaws.com/my-opa-bundles
        # 프로덕션에서는 allow_insecure_tls를 기본값(false)으로 유지하세요.
    bundles:
      main:
        service: bundle-server
        resource: latest/bundle.tar.gz
        polling:
          min_delay_seconds: 10
          max_delay_seconds: 30

# gatekeeper/templates/no-latest-tag.yaml
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8snolatestimage
  annotations:
    argocd.argoproj.io/sync-wave: "1"  # Constraint보다 먼저 배포
spec:
  crd:
    spec:
      names:
        kind: K8sNoLatestImage
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        # Gatekeeper용 Rego: 패키지명 컨벤션과 input.review 구조가
        # kube-mgmt 패턴(예시 1, input.request)과 다름에 주의하세요.
        package k8snolatestimage
        violation[{"msg": msg}] {
          # [_]는 배열의 모든 요소를 순회하는 Rego 와일드카드 문법입니다.
          container := input.review.object.spec.containers[_]
          endswith(container.image, ":latest")
          msg := sprintf("latest 태그 사용 불가: %v", [container.image])
        }

# gatekeeper/constraints/no-latest-tag-constraint.yaml
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sNoLatestImage
metadata:
  name: no-latest-image
  annotations:
    argocd.argoproj.io/sync-wave: "2"  # Template 이후 배포
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]

# ArgoCD Application — 정책 리포지토리를 감시
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: opa-policies
  namespace: argocd
spec:
  project: default
  source:
    repoURL: https://github.com/org/opa-policies
    path: gatekeeper/
    targetRevision: HEAD
  destination:
    server: https://kubernetes.default.svc
    namespace: gatekeeper-system
  syncPolicy:
    automated:
      prune: true
      selfHeal: true

# .github/workflows/pr-check.yml
name: Policy Validation
 
on:
  pull_request:
    paths: ['k8s/**']
 
jobs:
  conftest:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      # setup-opa와 일관되게 공식 액션을 활용하는 방식을 권장합니다.
      - name: Setup Conftest
        uses: open-policy-agent/setup-conftest@v0
        with:
          conftest: "0.50.0"
 
      - name: Validate K8s manifests against policies
        # conftest는 Kubernetes 네임스페이스 개념을 다루지 않으므로
        # --all-namespaces 플래그 없이 디렉터리와 정책 경로만 지정합니다.
        run: conftest test k8s/ --policy policies/

# OPAL 서버 및 클라이언트를 Helm으로 배포합니다.
# opal-server: Git 리포지토리를 감시하고 변경을 감지합니다.
# opal-client: OPA 인스턴스와 같은 네임스페이스에 배포되어 정책을 수신합니다.
helm repo add opal https://permitio.github.io/opal-helm-chart
 
helm install opal-server opal/opal-server \
  --set opal_server.policy_repo_url=https://github.com/org/opa-policies \
  --set opal_server.policy_repo_main_branch=main
 
helm install opal-client opal/opal-client \
  --set opal_client.server_url=ws://opal-server:7002/ws