Làm cách nào để cài đặt Consul trên kubernetes Azure với các chính sách được bật?

Tôi đã cài đặt kubernetes Azure với chính sách Azure được bật. Tôi đã làm theo các bước trong hướng dẫn bắt đầu của lãnh sự như sau: liên kết

Nhưng khi lãnh sự được triển khai, các nhóm không được triển khai.

Khi tôi kiểm tra bản sao, lỗi như sau.

Sự kiện:
  Nhập Lý do Tuổi từ Tin nhắn
  ---- ------ ---- ---- -------
  Cảnh báo Không thành côngTạo bộ điều khiển bản sao 23s (x17 trên 6m20s) Lỗi khi tạo: nhập webhook "validation.gatekeeper.sh" đã từ chối yêu cầu: [azurepolicy-psp-container-no-privilege-esc-30132221bc21e5b724da] Bộ chứa leo thang đặc quyền không được phép: bộ điều khiển

Làm thế nào để khắc phục điều này?

Các bước chi tiết với đầu ra.

D:\consul_azure>git clone https://github.com/hashicorp/learn-consul-kubernetes.git
Nhân bản thành 'learning-consul-kubernetes'...
điều khiển từ xa: Liệt kê các đối tượng: 504, xong.
từ xa: Đếm đối tượng: 100% (504/504), xong.
điều khiển từ xa: Nén đối tượng: 100% (325/325), xong.
điều khiển từ xa: Tổng 504 (delta 260), tái sử dụng 354 (delta 154), gói tái sử dụng 0
Đối tượng nhận: 100% (504/504), 87,91 KiB | 173,00 KiB/giây, xong.
Giải quyết vùng đồng bằng: 100% (260/260), đã hoàn thành.

D:\consul_azure>cd learn-consul-kubernetes/service-mesh/deploy

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>helm repo add hashicorp https://helm.releases.hashicorp.com
"hashicorp" đã tồn tại với cùng cấu hình, bỏ qua

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>cập nhật helm repo
Vui lòng đợi trong khi chúng tôi lấy thông tin mới nhất từ ​​kho lưu trữ biểu đồ của bạn...
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "aad-pod-identity"
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "secrets-store-csi-driver"
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "csi-secrets-store-provider-azure"
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "hashicorp"
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "spv-chart"
...Đã cập nhật thành công từ kho lưu trữ biểu đồ "ổn định"
Cập nhật hoàn tất. âChúc mừng Helming!â

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>helm install -f config.yaml consul hashicorp/consul --version "0.32.1"
TÊN: lãnh sự
KHAI THÁC CUỐI CÙNG: Thứ hai ngày 16 tháng 8 12:36:55 năm 2021
NAMESPACE: mặc định
TÌNH TRẠNG: đã triển khai
SỬA ĐỔI: 1
GHI CHÚ:
Cảm ơn bạn đã cài đặt HashiCorp Consul!

Bây giờ bạn đã triển khai Consul, bạn nên xem qua các tài liệu về cách sử dụng
Lãnh sự với Kubernetes có sẵn tại đây:

https://www.consul.io/docs/platform/k8s/index.html


Bản phát hành của bạn được đặt tên là lãnh sự.

Để tìm hiểu thêm về bản phát hành, hãy chạy:

  $ helm trạng thái lãnh sự
  $ lãnh đạo có được tất cả lãnh sự

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>helm status consul
TÊN: lãnh sự
KHAI THÁC CUỐI CÙNG: Thứ hai ngày 16 tháng 8 12:36:55 năm 2021
NAMESPACE: mặc định
TÌNH TRẠNG: đã triển khai
SỬA ĐỔI: 1
GHI CHÚ:
Cảm ơn bạn đã cài đặt HashiCorp Consul!

Bây giờ bạn đã triển khai Consul, bạn nên xem qua các tài liệu về cách sử dụng
Lãnh sự với Kubernetes có sẵn tại đây:

https://www.consul.io/docs/platform/k8s/index.html


Bản phát hành của bạn được đặt tên là lãnh sự.

Để tìm hiểu thêm về bản phát hành, hãy chạy:

  $ helm trạng thái lãnh sự
  $ lãnh đạo có được tất cả lãnh sự

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl get pods --selector app=consul
Không tìm thấy tài nguyên nào trong không gian tên mặc định.

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl get pods
Không tìm thấy tài nguyên nào trong không gian tên mặc định.

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl nhận triển khai
TÊN SẴN SÀNG CẬP NHẬT TUỔI CÓ SẴN
consul-connect-injector-webhook-triển khai 0/2 0 0 4m53s
lãnh sự-điều khiển 0/1 0 0 4m53s
lãnh sự-webhook-cert-manager 0/1 0 0 4m53s
máy chủ prometheus 0/1 0 0 4m53s

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl description triển khai bộ điều khiển consul
Tên: kiểm soát viên lãnh sự
Không gian tên: mặc định
TạoDấu thời gian: Thứ hai, ngày 16 tháng 8 năm 2021 12:37:25 +0530
Nhãn: ứng dụng=lãnh sự
                        app.kubernetes.io/managed-by=Helm
                        chart=consul-helm
                        thành phần = bộ điều khiển
                        di sản=Chiếc mũ bảo hiểm
                        phát hành = lãnh sự
Chú thích: Deploy.kubernetes.io/revision: 1
                        meta.helm.sh/release-name: consul
                        meta.helm.sh/release-namespace: mặc định
Bộ chọn: app=consul,chart=consul-helm,component=controller,heritage=Helm,release=consul
Bản sao: 1 mong muốn | 0 cập nhật | 0 tổng | 0 có sẵn | 1 không có sẵn
StrategyType: RollingUpdate
MinReadySeconds: 0
RollingUpdateStrategy: không có tối đa 25%, tăng tối đa 25%
Mẫu nhóm:
  Nhãn: ứng dụng=lãnh sự
                    chart=consul-helm
                    thành phần = bộ điều khiển
                    di sản=Chiếc mũ bảo hiểm
                    phát hành = lãnh sự
  Chú thích: consul.hashicorp.com/connect-inject: false
  Tài khoản dịch vụ: consul-controller
  Hộp đựng:
   bộ điều khiển:
    Hình ảnh: hashicorp/consul-k8s:0.26.0
    Cổng: 9443/TCP
    Cổng máy chủ: 0/TCP
    Chỉ huy:
      /bin/sh
      -ec
      bộ điều khiển lãnh sự-k8s \
        -webhook-tls-cert-dir=/tmp/controller-webhook/certs \
        -datacenter=dc1 \
        -kích hoạt-bầu cử lãnh đạo \
        -log-level="thông tin" \

    Hạn mức:
      CPU: 100m
      bộ nhớ: 50Mi
    yêu cầu:
      CPU: 100m
      bộ nhớ: 50Mi
    Môi trường:
      HOST_IP: (v1:status.hostIP)
      CONSUL_HTTP_ADDR: http://$(HOST_IP):8500
    gắn kết:
      /tmp/controller-webhook/certs từ chứng chỉ (ro)
  tập:
   chứng chỉ:
    Loại: Bí mật (một tập được điền bởi một Bí mật)
    SecretName: consul-controller-webhook-cert
    Tùy chọn: sai
Điều kiện:
  Loại Trạng thái Lý do
  ---- ------ ------
  Tiến bộ True NewReplicaSetCreated
  Có sẵn Bản sao tối thiểu saiKhông khả dụng
  ReplicaFailure True FailedCreate
OldReplicaSets: <none>
Bộ bản sao mới: consul-controller-dff49c9f4 (đã tạo bản sao 0/1)
Sự kiện:
  Nhập Lý do Tuổi từ Tin nhắn
  ---- ------ ---- ---- -------
  Bình thường ScalingReplicaSet Bộ điều khiển triển khai 5m9s Đặt bản sao được mở rộng quy mô consul-controller-dff49c9f4 thành 1

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl get rs consul-controller-dff49c9f4
TÊN MONG MUỐN TUỔI SẴN SÀNG HIỆN TẠI
consul-controller-dff49c9f4 1 0 0 5m30s

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl log consul-controller-dff49c9f4
Lỗi từ máy chủ (NotFound): không tìm thấy nhóm "consul-controller-dff49c9f4"

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl log rs/consul-controller-dff49c9f4
lỗi: hết thời gian chờ điều kiện

D:\consul_azure\learn-consul-kubernetes\service-mesh\deploy>kubectl description rs/consul-controller-dff49c9f4
Tên: consul-controller-dff49c9f4
Không gian tên: mặc định
Bộ chọn: app=consul,chart=consul-helm,component=controller,heritage=Helm,pod-template-hash=dff49c9f4,release=consul
Nhãn: ứng dụng=lãnh sự
                chart=consul-helm
                thành phần = bộ điều khiển
                di sản=Chiếc mũ bảo hiểm
                pod-template-hash=dff49c9f4
                phát hành = lãnh sự
Chú thích: Deploy.kubernetes.io/desired-replicas: 1
                triển khai.kubernetes.io/max-replicas: 2
                triển khai.kubernetes.io/revision: 1
                meta.helm.sh/release-name: consul
                meta.helm.sh/release-namespace: mặc định
Kiểm soát bởi: Deployment/consul-controller
Bản sao: 0 hiện tại / 1 mong muốn
Trạng thái nhóm: 0 Đang chạy / 0 Đang chờ / 0 Thành công / 0 Không thành công
Mẫu nhóm:
  Nhãn: ứng dụng=lãnh sự
                    chart=consul-helm
                    thành phần = bộ điều khiển
                    di sản=Chiếc mũ bảo hiểm
                    pod-template-hash=dff49c9f4
                    phát hành = lãnh sự
  Chú thích: consul.hashicorp.com/connect-inject: false
  Tài khoản dịch vụ: consul-controller
  Hộp đựng:
   bộ điều khiển:
    Hình ảnh: hashicorp/consul-k8s:0.26.0
    Cổng: 9443/TCP
    Cổng máy chủ: 0/TCP
    Chỉ huy:
      /bin/sh
      -ec
      bộ điều khiển lãnh sự-k8s \
        -webhook-tls-cert-dir=/tmp/controller-webhook/certs \
        -datacenter=dc1 \
        -kích hoạt-bầu cử lãnh đạo \
        -log-level="thông tin" \

    Hạn mức:
      CPU: 100m
      bộ nhớ: 50Mi
    yêu cầu:
      CPU: 100m
      bộ nhớ: 50Mi
    Môi trường:
      HOST_IP: (v1:status.hostIP)
      CONSUL_HTTP_ADDR: http://$(HOST_IP):8500
    gắn kết:
      /tmp/controller-webhook/certs từ chứng chỉ (ro)
  tập:
   chứng chỉ:
    Loại: Bí mật (một tập được điền bởi một Bí mật)
    SecretName: consul-controller-webhook-cert
    Tùy chọn: sai
Điều kiện:
  Loại Trạng thái Lý do
  ---- ------ ------
  ReplicaFailure True FailedCreate
Sự kiện:
  Nhập Lý do Tuổi từ Tin nhắn
  ---- ------ ---- ---- -------
  Cảnh báo Không thành côngTạo bộ điều khiển bản sao 23s (x17 trên 6m20s) Lỗi khi tạo: nhập webhook "validation.gatekeeper.sh" đã từ chối yêu cầu: [azurepolicy-psp-container-no-privilege-esc-30132221bc21e5b724da] Bộ chứa leo thang đặc quyền không được phép: bộ điều khiển

Cho đến khi Lãnh sự bỏ leo thang đặc quyền, như một giải pháp thay thế, trong bước 9 để Gán một định nghĩa chính sách, để loại trừ các không gian tên Kubernetes khỏi quá trình đánh giá chính sách, hãy chỉ định danh sách các không gian tên trong tham số Loại trừ không gian tên. Nên loại trừ: hệ thống kube, hệ thống gác cổng, và cung xanh.

Đặc biệt, đối với Các cụm Kubernetes không được cho phép leo thang đặc quyền vùng chứa bạn có thể đặt tham số cho Loại trừ không gian tên và Loại trừ vùng chứa, thêm không gian tên lãnh sự và/hoặc vùng chứa.

Theo định nghĩa chính sách:

"thông số": {
...
"không gian tên bị loại trừ": {
        "loại": "Mảng",
        "metadata": {
          "displayName": "Loại trừ không gian tên",
          "description": "Danh sách không gian tên Kubernetes để loại trừ khỏi đánh giá chính sách."
        },
        "giá trị mặc định": [
          "hệ thống kube",
          "hệ thống gác cổng",
          "azure-arc"
        ]
      },
...
"loại trừContainer": {
        "loại": "Mảng",
        "metadata": {
          "displayName": "Loại trừ vùng chứa",
          "description": "Danh sách InitContainers và Container để loại trừ khỏi đánh giá chính sách. Tên nhận dạng là tên của vùng chứa. Sử dụng danh sách trống để áp dụng chính sách này cho tất cả các vùng chứa trong mọi không gian tên."
        },
        "giá trị mặc định": []
      },
...
}