Testing 对于有效的Kubernetets YAML文件，Conftest失败

我有以下简单的Kubernetes YAML部署：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: {{ .Values.app.name }}
  namespace: {{ .Values.app.namespace }}
spec:
  selector:
    matchLabels:
      app: {{ .Values.app.name }}
  replicas: 1
  template:
    metadata:
      labels:
        app: {{ .Values.app.name }}
    spec:
      securityContext:
        runAsUser: 1000
        runAsGroup: 3000
        fsGroup: 2000
      containers:
        - name: {{ .Values.app.name }}
          image: {{ .Values.plantSimulatorService.image.repository }}:{{ .Values.plantSimulatorService.image.tag }}
          ports:
            - containerPort: {{ .Values.plantSimulatorService.ports.containerPort }} # Get this value from ConfigMap

我的test.rego中包含以下内容：

package main

import data.kubernetes

name = input.metadata.name

deny[msg] {
  kubernetes.is_deployment
  not input.spec.template.spec.securityContext.runAsNonRoot

  msg = sprintf("Containers must not run as root in Deployment %s", [name])
}

当我使用以下命令运行此命令时：

joesan@joesan-InfinityBook-S-14-v5:~/Projects/Private/infrastructure-projects/plant-simulator-deployment$ helm conftest helm-k8s -p test
WARN - Found service plant-simulator-service but services are not allowed
WARN - Found service plant-simulator-grafana but services are not allowed
WARN - Found service plant-simulator-prometheus but services are not allowed
FAIL - Containers must not run as root in Deployment plant-simulator
FAIL - Deployment plant-simulator must provide app/release labels for pod selectors

正如您所看到的，我确实没有以root用户身份运行容器，但是尽管我收到了这个错误消息——容器不能在部署工厂模拟器中以root用户身份运行

---

知道原因是什么吗？

您需要将

runAsNonRoot

添加到securityContext：

  securityContext:
    runAsUser: 1000
    runAsGroup: 3000
    fsGroup: 2000
    runAsNonRoot: true

---

rego规则只能验证Yaml结构-它不够聪明，无法确定您的配置是否有效地运行了非root用户。

我刚刚做到了！谢谢但另一个问题是，我正在使用Kustomize编写文件，在这种情况下，我在覆盖图中看到了来自我的一个文件的相同错误消息。这方面有什么想法吗。这里是整个项目-抱歉，还没有研究Kustomize。不过这个项目不错！