查看以下集群生命周期 RBAC 操作。

创建和管理所有受管集群：

管理名为 cluster-name 的受管集群：

查看名为 cluster-name 的受管集群：

查看以下集群生命周期控制台和 API RBAC 表：

在创建应用程序时，subscription 命名空间会被创建，配置映射会在 subscription 命名空间中创建。您还必须有权访问 channel 命名空间。如果需要应用订阅，则必须是订阅管理员。有关管理应用程序的更多信息，请参阅创建和管理订阅。

要执行应用程序生命周期任务，具有 admin 角色的用户必须有权访问创建 application 的应用程序命名空间，以及 managed cluster 命名空间。例如，在命名空间 "N" 中创建应用程序所需的访问权限是命名空间范围的绑定到命名空间 "N" 的 admin 角色。

查看以下应用程序生命周期控制台和 API RBAC 表：

要执行监管生命周期操作，用户必须有权访问创建策略的命名空间，以及访问应用策略的 managedcluster 命名空间。

请参见以下示例：

查看以下监管生命周期控制台和 API RBAC 表：

要查看受管集群的可观察性指标，您必须具有对 hub 集群中该受管集群的 查看 访问权限。查看以下可观察功能列表：

要在 Grafana 中查看可观察性数据，则必须在受管集群相同的命名空间中有一个 RoleBinding 资源。查看以下 RoleBinding 示例：

kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
 name: <replace-with-name-of-rolebinding>
 namespace: <replace-with-name-of-managedcluster-namespace>
subjects:
 - kind: <replace with User|Group|ServiceAccount>
   apiGroup: rbac.authorization.k8s.io
   name: <replace with name of User|Group|ServiceAccount>
roleRef:
 apiGroup: rbac.authorization.k8s.io
 kind: ClusterRole
 name: view

如需更多信息，请参阅 Role binding policy。请参阅 自定义可观察性 来配置可观察性。

创建、更新和删除 MultiClusterObservability 自定义资源。查看以下 RBAC 表：

如需了解更多与集群安全相关的信息，请参阅安全部分。

完成以下步骤以轮转 gatekeeper Webhook 证书：

gatekeeper Webhook 证书被轮转。

完成以下步骤以轮转完整性 shield Webhook 证书：

安装 Red Hat Advanced Cluster Management 时，有管理证书的额外命名空间。open-cluster-management-observability 命名空间和受管集群命名空间包含由 cert-manager 为可观察服务管理的证书。

可观察证书在过期后会被自动刷新。查看以下列表以了解证书自动更新时的影响：

CA 证书可与作为 Red Hat Advanced Cluster Management 应用程序管理一部分的 Git 频道关联。如需了解更多详细信息，请参阅使用自定义 CA 证书进行安全 HTTPS 连接。

Helm 频道允许您禁用证书验证。禁用证书验证的 Helm 频道，必须在开发环境中配置。禁用证书验证会带来安全隐患。

证书用于使用 hub 验证受管集群。因此，了解与这些证书关联的故障排除方案非常重要。如需了解更多详细信息，请参阅证书更改后离线清理的集群。

受管集群证书会自动刷新。

在受管集群中使用证书策略控制器来创建和管理证书策略。请参阅策略控制器以了解更多有关控制器的信息。返回到 Security 页面以了解更多信息。

确认您的 Red Hat Advanced Cluster Management for Kubernetes 集群正在运行。

运行以下命令，备份现有 Red Hat Advanced Cluster Management for Kubernetes 证书资源：

oc get cert multicloud-ca-cert -n open-cluster-management -o yaml > multicloud-ca-cert-backup.yaml

完成以下步骤，使用 OpenSSL 创建 root CA 证书：

替换了 root CA 后，必须刷新所有由 root CA 签名的证书，且必须重启使用这些证书的服务。Cert-manager 从 root CA 创建默认签发者，因此由 cert-manager 签发以及由默认 ClusterIssuer 签名的所有证书都必须刷新。

删除与每个 cert-manager 证书关联的 Kubernetes secret，以刷新证书并重启使用该证书的服务。运行以下命令：

oc delete secret -n open-cluster-management $(oc get cert -n open-cluster-management -o wide | grep multicloud-ca-issuer | awk '{print $3}')

要恢复 root CA 证书，请完成以下步骤来更新 CA 签发者：

刷新所有使用该 CA 的 cert-manager 证书。如需更多信息，请参阅前述部分“刷新 cert-manager 证书”。

有关由 Red Hat Advanced Cluster Management for Kubernates 创建和管理的证书的更多信息，请参阅证书。

将您的 management-ingress 证书和私钥准备妥当。如果需要，您可以使用 OpenSSL 生成 TLS 证书。将证书上的通用名称参数 CN 设置为 manangement-ingress。如果您要生成证书，请加入以下设置：

[ req ]               # Main settings
default_bits = 2048       # Default key size in bits.
prompt = no               # Disables prompting for certificate values so the configuration file values are used.
default_md = sha256       # Specifies the digest algorithm.
req_extensions = req_ext  # Specifies the configuration file section that includes any extensions.
distinguished_name = dn   # Specifies the section that includes the distinguished name information.

[ dn ]               # Distinguished name settings
C = US                    # Country
ST = North Carolina             # State or province
L = Raleigh                # Locality
O = Red Hat Open Shift     # Organization
OU = Red Hat Advanced Container Management        # Organizational unit
CN = management-ingress  # Common name.

[ req_ext ]          # Extensions
subjectAltName = @alt_names # Subject alternative names

[ alt_names ]        # Subject alternative names
DNS.1 = management-ingress
DNS.2 = multicloud-console.apps.grchub2.dev08.red-chesterfield.com
DNS.3 = localhost
DNS.4 = 127.0.0.1

[ v3_ext ]          # x509v3 extensions
authorityKeyIdentifier=keyid,issuer:always  # Specifies the public key that corresponds to the private key that is used to sign a certificate.
basicConstraints=CA:FALSE                   # Indicates whether the certificate is a CA certificate during the certificate chain verification process.
#keyUsage=keyEncipherment,dataEncipherment   # Defines the purpose of the key that is contained in the certificate.
extendedKeyUsage=serverAuth                 # Defines the purposes for which the public key can be used.
subjectAltName=@alt_names                   # Identifies the subject alternative names for the identify that is bound to the public key by the CA.

完成以下步骤以替换您的 BYO 入口证书：

如需有关由 Red Hat Advanced Cluster Management 创建和管理的证书的更多信息，请参阅证书。返回 Security 以了解更多有关保护集群的信息。

Name:         configuration-policy-example
Namespace:
Labels:
APIVersion:   policy.open-cluster-management.io/v1
Kind:         ConfigPolicy
Metadata:
  Finalizers:
    finalizer.policy.open-cluster-management.io
Spec:
  Conditions:
    Ownership:
    NamespaceSelector:
      Exclude:
      Include:
    RemediationAction:
 Status:
   CompliancyDetails:
     Configuration-Policy-Example:
       Default:
       Kube - Public:
   Compliant:          Compliant
 Events:

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigPolicy
metadata:
  name: policy-config
spec:
  namespaceSelector:
    include: ["default"]
    exclude: []
  remediationAction: inform
    severity: low
    object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: v1
        kind: Pod
        metadata:
          name: nginx-pod
        spec:
          containers:
          - image: nginx:1.7.9
            name: nginx
            ports:
           - containerPort: 80

请参阅 CM-Configuration-Management 目录获取使用NIST Special Publication 800-53 (Rev. 4) 的，被 Red Hat Advanced Cluster Management 支持的策略示例。了解策略如何应用到您的 hub 集群，请参阅支持的策略以了解更多详细信息。

了解如何创建和自定义策略，请参阅管理安全策略。有关控制器的详情，请参阅策略控制器。

查看证书策略的以下示例，并查看 YAML 表中的元素：

apiVersion: policy.open-cluster-management.io/v1
kind: CertificatePolicy
metadata:
  name: certificate-policy-example
  namespace:
  labels: category=system-and-information-integrity
spec:
  namespaceSelector:
    include: ["default"]
    exclude: ["kube-*"]
  remediationAction:
  severity:
  minimumDuration:
  minimumCADuration:
  maximumDuration:
  maximumCADuration:
  allowedSANPattern:
  disallowedSANPattern:

当在 hub 集群上创建证书策略控制器时，会在受管集群上创建复制策略。请参阅 policy-certificate.yaml 查看证书策略示例。

了解如何管理证书策略，请参阅管理证书策略以了解更多详细信息。有关更多主题，请参阅策略控制器。

查看 IAM 策略的以下示例，并查看 YAML 表中的参数：

apiVersion: policy.open-cluster-management.io/v1
kind: IamPolicy
metadata:
  name:
spec:
  severity:
  namespaceSelector:
    include:
    exclude:
  remediationAction:
  maxClusterRoleBindingUsers:

查看以下参数表以获详细信息：

请参阅 policy-limitclusteradmin.yaml 查看 IAM 策略示例。了解如何管理 IAM 策略，请参阅管理 IAM 策略以了解更多详细信息。有关更多主题，请参阅策略控制器。

使用位于 Govern-policy-framework 存储库中的策略控制器框架。完成以下步骤来创建策略控制器：

您的策略控制器可以正常工作。

将自定义策略控制器部署到集群，并将策略控制器与监管和风险仪表板集成。完成以下步骤：

您的内存用量策略可能类似以下 YAML 文件：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-limitrange
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        apiVersion:
        kind:
        metadata:
          name:
        spec:
          limits:
          - default:
              memory:
            defaultRequest:
              memory:
            type:
        ...

请参阅 policy-limitmemory.yaml 查看策略示例。如需更多信息，请参阅管理内存用量策略。请参阅 Kubernetes 配置策略控制器以查看控制器监控的其他配置策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-namespace-1
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        kind:
        apiVersion:
        metadata:
          name:
    ...

请参阅 policy-namespace.yaml 以查看策略示例。

如需更多信息，请参阅管理命名空间策略。请参阅 Kubernetes 配置策略控制器以了解其他配置策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-imagemanifestvulnpolicy
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards: NIST-CSF
    policy.open-cluster-management.io/categories: DE.CM Security Continuous Monitoring
    policy.open-cluster-management.io/controls: DE.CM-8 Vulnerability Scans
spec:
  remediationAction:
  disabled:
  policy-templates:
  - objectDefinition:
      apiVersion: policy.open-cluster-management.io/v1
      kind: ConfigurationPolicy
      metadata:
        name:
      spec:
        remediationAction:
        severity: high
        object-templates:
          - complianceType:
            objectDefinition:
              apiVersion: operators.coreos.com/v1alpha1
              kind: Subscription
              metadata:
                name: container-security-operator
                namespace:
              spec:
                channel:
                installPlanApproval:
                name:
                source:
                sourceNamespace:
  - objectDefinition:
      apiVersion: policy.open-cluster-management.io/v1
      kind: ConfigurationPolicy
      metadata:
        name:
      spec:
        remediationAction:
        severity:
        namespaceSelector:
          exclude:
          include:
        object-templates:
          - complianceType:
            objectDefinition:
              apiVersion: secscan.quay.redhat.com/v1alpha1
              kind: ImageManifestVuln # checking for a kind
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-imagemanifestvulnpolicy
  namespace: default
placementRef:
  name:
  kind:
  apiGroup:
subjects:
- name:
  kind:
  apiGroup:
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-imagemanifestvulnpolicy
  namespace: default
spec:
  clusterConditions:
  - status:
    type:
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

请参阅 policy-imagemanifestvuln.yaml。如需更多信息，请参阅管理镜像漏洞策略。请参阅 Kubernetes 配置策略控制器，以查看配置控制器监控的其他配置策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        apiVersion:
        kind: Pod # pod must exist
        metadata:
          name:
        spec:
          containers:
          - image:
            name:
            ports:
            - containerPort:
    ...

请参阅 policy-pod.yaml 查看策略示例。了解如何管理 Pod 策略，请参阅管理 Pod 策略 以了解更多详细信息。

请参阅 Kubernetes 配置策略控制器，以查看配置控制器监控的其他配置策略。请参阅管理安全策略以管理其他策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-podsecuritypolicy
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        apiVersion:
        kind: PodSecurityPolicy # no privileged pods
        metadata:
          name:
          annotations:
        spec:
          privileged:
          allowPrivilegeEscalation:
          allowedCapabilities:
          volumes:
          hostNetwork:
          hostPorts:
          hostIPC:
          hostPID:
          runAsUser:
            rule:
          seLinux:
            rule:
          supplementalGroups:
            rule:
          fsGroup:
            rule:
     ...

请参阅 policy-psp.yaml 查看示例策略。如需更多信息，请参阅管理 Pod 安全策略。请参阅 Kubernetes 配置策略控制器以查看控制器监控的其他配置策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-role
  namespace:
  annotations:
    policy.open-cluster-management.io/standards: NIST-CSF
    policy.open-cluster-management.io/categories: PR.AC Identity Management Authentication and Access Control
    policy.open-cluster-management.io/controls: PR.AC-4 Access Control
spec:
  remediationAction: inform
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-role-example
        spec:
          remediationAction: inform # will be overridden by remediationAction in parent policy
          severity: high
          namespaceSelector:
            exclude: ["kube-*"]
            include: ["default"]
          object-templates:
            - complianceType: mustonlyhave # role definition should exact match
              objectDefinition:
                apiVersion: rbac.authorization.k8s.io/v1
                kind: Role
                metadata:
                  name: sample-role
                rules:
                  - apiGroups: ["extensions", "apps"]
                    resources: ["deployments"]
                    verbs: ["get", "list", "watch", "delete","patch"]
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-role
  namespace:
placementRef:
  name: placement-policy-role
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-role
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-role
  namespace:
spec:
  clusterConditions:
    - type: ManagedClusterConditionAvailable
      status: "True"
  clusterSelector:
    matchExpressions:
      []

         ...

应用角色策略来为集群中的特定角色设置规则和权限。有关角色的更多信息，请参阅基于角色的访问控制。查看角色策略示例，请参阅 policy-role.yaml。

要了解如何管理角色策略，请参阅管理角色策略 以了解更多信息。请参阅 Kubernetes 配置策略控制器，以查看监控控制器的其他配置策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name:
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        kind: RoleBinding # role binding must exist
        apiVersion: rbac.authorization.k8s.io/v1
        metadata:
          name: operate-pods-rolebinding
        subjects:
        - kind: User
          name: admin # Name is case sensitive
          apiGroup:
        roleRef:
          kind: Role #this must be Role or ClusterRole
          name: operator # this must match the name of the Role or ClusterRole you wish to bind to
          apiGroup: rbac.authorization.k8s.io
    ...

请参阅 policy-rolebinding.yaml 查看策略示例。了解如何管理角色绑定策略，请参阅管理角色绑定策略以了解更多详细信息。请参阅 Kubernetes 配置策略控制器以了解其他配置策略。请参阅管理安全策略以管理其他策略。

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-scc
  namespace: open-cluster-management-policies
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        apiVersion:
        kind: SecurityContextConstraints # restricted scc
        metadata:
          annotations:
            kubernetes.io/description:
          name: sample-restricted-scc
        allowHostDirVolumePlugin:
        allowHostIPC:
        allowHostNetwork:
        allowHostPID:
        allowHostPorts:
        allowPrivilegeEscalation:
        allowPrivilegedContainer:
        allowedCapabilities:
        defaultAddCapabilities:
        fsGroup:
         type:
        groups:
        - system:
        priority:
        readOnlyRootFilesystem:
        requiredDropCapabilities:
        runAsUser:
          type:
        seLinuxContext:
          type:
        supplementalGroups:
          type:
        users:
        volumes:

有关 SCC 策略内容的解释，请参阅 OpenShift Container Platform 文档中的管理安全性上下文约束。

应用安全性上下文约束 (SCC) 策略，通过在策略中定义条件来控制 Pod 的权限。如需更多信息，请参阅管理安全性上下文约束（SCC）。

请参阅 policy-scc.yaml 查看策略示例。要了解如何管理 SCC 策略，请参阅管理安全性上下文约束策略以了解更多详细信息。

请参阅 Kubernetes 配置策略控制器以了解其他配置策略。请参阅管理安全策略以管理其他策略。

etcd-encryption 策略可能类似以下 YAML 文件：

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: policy-etcdencryption
  namespace:
spec:
  complianceType:
  remediationAction:
  namespaces:
    exclude:
    include:
  object-templates:
    - complianceType:
      objectDefinition:
        apiVersion: config.openshift.io/v1
        kind: APIServer
        metadata:
          name: cluster
        spec:
          encryption:
            type:
        ...

如需策略示例，请参阅 policy-etcdencryption.yaml。如需更多信息，请参阅管理 ETCD 加密策略。请参阅 Kubernetes 配置策略控制器以查看控制器监控的其他配置策略。

创建合规 Operator 策略时，会创建以下资源：

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-ns
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: v1
        kind: Namespace
        metadata:
          name: openshift-compliance

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-operator-group
spec:
  remediationAction: inform # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1
        kind: OperatorGroup
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          targetNamespaces:
            - openshift-compliance

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: comp-operator-subscription
spec:
  remediationAction: inform  # will be overridden by remediationAction in parent policy
  severity: high
  object-templates:
    - complianceType: musthave
      objectDefinition:
        apiVersion: operators.coreos.com/v1alpha1
        kind: Subscription
        metadata:
          name: compliance-operator
          namespace: openshift-compliance
        spec:
          channel: "4.7"
          installPlanApproval: Automatic
          name: compliance-operator
          source: redhat-operators
          sourceNamespace: openshift-marketplace

安装 compliance operator 策略后，会创建以下 pod：compliance-operator、ocp4 和 rhcos4。请参阅 policy-compliance-operator-install.yaml 示例。

安装 compliance operator 后，您还可以创建并应用 E8 扫描策略。如需更多信息，请参阅 E8 扫描策略。

要了解管理合规 Operator 策略的信息，请参阅管理合规 Operator 策略以了解更多详细信息。有关配置策略的更多主题，请参阅 Kubernetes 配置策略控制器。

当您创建 E8 扫描策略时，会创建以下资源：

请参阅 policy-compliance-operator-e8-scan.yaml 文件示例。有关创建 E8 扫描策略的更多信息，请参阅管理 E8 扫描策略。

通过将 stable 和 community 策略整合到单个文件夹中，自定义您的本地存储库。删除您不想使用的策略。完成以下步骤以自定义您的本地存储库：

在您对目录所做的更改满意后，提交您的更改并将其推送到 Git，以便集群可以访问它们。

注:本例用于显示如何在 GitOps 中使用策略的基础知识，因此您可能有不同的工作流来更改您的分支。

完成以下步骤：

您的更改已提交。

在推送更改后，您可以将策略部署到 Red Hat Advanced Cluster Management for Kubernetes 安装中。部署后，您的 hub 集群与您的 Git 仓库同步。对 Git 存储库所选分支的任何其他更改都会反映在集群中。

deploy.sh 脚本在 hub 集群中创建 Channel 和 Subscription 资源。频道连接到 Git 仓库，订阅指定要通过频道传递给集群的数据。因此，在您的 hub 上会创建指定子目录中定义的所有策略。

在订阅创建策略后，Red Hat Advanced Cluster Management 会根据定义的放置规则分析策略，并在与策略应用到的每个受管集群关联的命名空间中创建额外的策略资源。

该策略随后从 hub 集群上对应的受管集群命名空间中复制到受管集群。因此，Git 仓库中的策略推送到具有与策略放置规则中定义的 clusterSelector 匹配的所有受管集群。

完成以下步骤：

从控制台验证您的更改是否已应用于您的策略。您还可以从控制台对策略进行更多更改。完成以下步骤：

使用 GitOps 部署了您的策略。

您可以使用命令行界面 (CLI) 或者从控制台创建安全策略。需要集群管理员访问权限。

重要：您必须定义一个 PlacementPolicy 和 PlacementBinding，才能将您的策略应用到特定的集群。为 Cluster selector 字段输入值以定义 PlacementPolicy 和 PlacementBinding。查看 Red Hat Advanced Cluster Management 策略所需的对象定义：

在策略概述中查看策略 YAML 文件的更多描述。

查看以下部分以了解如何更新安全策略。

您可以使用命令行界面 (CLI) 或者从控制台为配置策略创建 YAML 文件。查看以下部分以创建配置策略：

查看以下部分以了解如何更新配置策略。

通过 CLI 或控制台删除配置策略。

您的策略已删除。

如需被 Red Hat Advanced Cluster Management 支持的配置策略示例，查看 CM-Configuration-Management 文件夹。

或者，参阅 Kubernetes 配置策略控制器来查看控制器监控的其他配置策略。有关管理其他策略的详情，请参阅管理安全策略。

您可以使用命令行界面 (CLI) 或者从控制台为镜像漏洞策略创建 YAML。查看以下部分以创建镜像漏洞策略：

从控制台创建镜像漏洞策略时，也会在 YAML 编辑器中创建 YAML 文件。完成以下步骤，从控制台创建镜像漏洞策略：

镜像漏洞策略已创建。

查看以下部分以了解如何更新镜像漏洞策略。

您可以使用命令行界面 (CLI) 或者从控制台为内存用量策略创建 YAML 文件。查看以下部分以创建内存用量策略：

查看以下部分以了解如何更新内存用量策略。

您可以使用命令行界面 (CLI) 或者从控制台为命名空间策略创建 YAML 文件。查看以下部分以创建命名空间策略：

查看以下部分以了解如何更新命名空间策略。

您可以使用命令行界面 (CLI) 或者从控制台为 pod 策略创建 YAML。查看以下部分以创建 pod 策略：

从控制台创建 Pod 策略时，也会在 YAML 编辑器中创建 YAML 文件。完成以下步骤，从控制台创建 Pod 策略：

从控制台查看您的 Pod 策略

您可以在控制台中查看任何 Pod 策略及其状态。

查看以下部分以了解如何更新 pod 策略。

您可以使用命令行界面 (CLI) 或者从控制台为 Pod 安全策略创建 YAML 文件。查看以下部分以创建 Pod 安全策略：

查看以下部分以了解如何更新 Pod 安全策略。

您可以使用命令行界面 (CLI) 或者从控制台为角色策略创建 YAML 文件。查看以下部分以创建角色策略：

查看以下部分以了解如何更新角色策略。

您可以使用命令行界面（CLI）或者从控制台为角色绑定策略创建 YAML 文件。查看以下部分以创建角色绑定策略：

查看以下部分以了解如何更新角色绑定策略。

您可以使用命令行界面 (CLI) 或者从控制台为 SCC 策略创建 YAML 文件。查看以下部分以创建 SCC 策略：

查看以下部分以了解如何更新 SCC 策略。

您可以使用命令行界面 (CLI) 或者从控制台为证书策略创建 YAML 文件。查看以下部分以创建证书策略：

您可以使用命令行界面 (CLI) 或者从控制台为 IAM 策略创建 YAML 文件。

查看以下部分以了解如何更新 IAM 策略。

您可以使用命令行界面（CLI）或者从控制台为加密策略创建 YAML 文件。查看以下部分以创建加密策略：

查看以下部分以了解如何更新加密策略。

使用监管框架来安装 gatekeeper Operator。OpenShift Container Platform 目录中提供了 gatekeeper operator。如需更多信息，请参阅 OpenShift Container Platform 文档中的将 Operator 添加到集群部分。

使用配置策略控制器来安装 gatekeeper operator 策略。在安装过程中，Operator 组和订阅会拉取 gatekeeper operator 将其安装到受管集群中。然后，gatekeeper operator 会创建一个 gatekeeper CR 来配置 gatekeeper。查看 Gatekeeper operator CR 示例。

在支持 enforce（强制） 补救操作的情况下，gatekeeper operator 策略由 Red Hat Advanced Cluster Management 配置策略控制器监控。当设置为 enforce 时，控制器会自动创建 Gatekeeper Operator 策略。

完成以下步骤，从控制台安装 gatekeeper operator 策略：

apiVersion: operator.gatekeeper.sh/v1alpha1
kind: Gatekeeper
metadata:
  name: gatekeeper
spec:
  # Add fields here
  image:
    image: docker.io/openpolicyagent/gatekeeper:v3.2.2
    imagePullPolicy: Always
  audit:
    replicas: 1
    logLevel: DEBUG
    auditInterval: 10s
    constraintViolationLimit: 55
    auditFromCache: Enabled
    auditChunkSize: 66
    emitAuditEvents: Enabled
    resources:
      limits:
        cpu: 500m
        memory: 150Mi
      requests:
        cpu: 500m
        memory: 130Mi
  validatingWebhook: Enabled
  webhook:
    replicas: 2
    logLevel: ERROR
    emitAdmissionEvents: Enabled
    failurePolicy: Fail
    resources:
      limits:
        cpu: 480m
        memory: 140Mi
      requests:
        cpu: 400m
        memory: 120Mi
  nodeSelector:
    region: "EMEA"
  affinity:
    podAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        - labelSelector:
            matchLabels:
              auditKey: "auditValue"
          topologyKey: topology.kubernetes.io/zone
  tolerations:
    - key: "Example"
      operator: "Exists"
      effect: "NoSchedule"
  podAnnotations:
    some-annotation: "this is a test"
    other-annotation: "another test"

您可以升级 gatekeeper 和 gatekeeper operator 的版本。完成以下步骤：

查看以下部分以了解如何更新 gatekeeper operator 策略。

完成以下步骤以卸载 gatekeeper 策略、gatekeeper 和 gatekeeper operator 策略：

Gatekeeper 策略、gatekeeper 和 gatekeeper operator 策略会被卸载。

如需有关 gatekeeper 的详细信息，请参阅集成 gatekeeper 约束和约束模板。有关将第三方策略与产品集成的主题列表，请参阅集成第三方策略控制器。

从控制台创建合规 Operator 策略时，也会在 YAML 编辑器中创建 YAML 文件。完成以下步骤，从控制台创建合规 Operator 策略：

已创建一个 compliance operator 策略。

查看以下部分以了解如何更新合规性 Operator 策略。

从控制台创建 E8 扫描策略时，也会在 YAML 编辑器中创建 YAML 文件。备注：必须安装 compliance Operator。如需了解更多详细信息，请参阅从控制台创建合规 Operator 策略。

完成以下步骤，从控制台创建 E8 扫描策略：

已创建一个 E8 扫描策略。

查看以下部分以了解如何更新 E8 扫描策略。