用 Kyverno 建立 Kubernetes 策略基线

适用场景

需要强制镜像来源、禁止特权容器、要求资源限制、自动补标签或生成配套资源。Kyverno 用 Kubernetes 原生 YAML 表达策略，不需要学习 Rego。

前置条件

• Kubernetes 集群，版本与 Kyverno 兼容。
• 明确策略模式：Audit 先观察，Enforce 再拦截。
• 规划 Policy 与 ClusterPolicy 的适用范围。
• 准备策略例外清单，避免误伤系统组件。

步骤

1. 安装 Kyverno：

helm repo add kyverno https://kyverno.github.io/kyverno
helm install kyverno kyverno/kyverno \
  --namespace kyverno --create-namespace \
  --set admissionController.replicas=3

2. 先创建一条审计模式的策略，禁止 latest 标签：

kubectl apply -f - <<'EOF'
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: disallow-latest-tag
spec:
  validationFailureAction: Audit
  rules:
  - name: require-image-tag
    match:
      any:
      - resources:
          kinds: [Pod]
    validate:
      message: "镜像必须使用明确版本，不能使用 latest。"
      pattern:
        spec:
          containers:
          - image: "!*:latest"
EOF

3. 观察违规资源：

kubectl get policyreport -A
kubectl get clusterpolicyreport

4. 确认没有误伤后切换为 Enforce：

kubectl patch clusterpolicy disallow-latest-tag \
  --type merge -p '{"spec":{"validationFailureAction":"Enforce"}}'

5. 添加资源限制和特权容器策略。对系统命名空间使用 exclude 或 PolicyException。

6. 使用 mutate 自动补标签：

kubectl apply -f - <<'EOF'
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: add-team-label
spec:
  rules:
  - name: add-label
    match:
      any:
      - resources:
          kinds: [Deployment]
    mutate:
      patchStrategicMerge:
        metadata:
          labels:
            managed-by: kyverno
EOF

7. 在 CI 中先用 CLI 测试策略：

kyverno apply policies/ --resource deployment.yaml
kyverno test .

验证

• kubectl get clusterpolicy 显示策略为 Ready。
• 违规 Pod 在 Audit 模式下出现在 PolicyReport。
• Enforce 模式下违规资源被拒绝，错误信息清晰。
• 合法资源不受影响，系统组件没有被误伤。
• mutate 后的资源包含预期标签。
• 策略例外只对指定命名空间或资源生效。

回滚

• 将 validationFailureAction 改回 Audit，立即停止拦截。
• 删除问题策略，但保留 PolicyReport 便于复盘。
• 升级 Kyverno 前备份 ClusterPolicy 和 PolicyException。
• 策略变更先在测试集群验证，再推生产。

常见坑

• 一开始就用 Enforce，误伤系统组件或现有工作负载。
• 匹配范围过大，把 Job、CronJob 或 InitContainer 漏掉。
• 镜像正则写错，合法镜像也被拒绝。
• 没有配置 PolicyException，业务无法临时绕过。
• 策略数量过多，准入延迟明显增加。
• 只做 validate 不做 mutate，标签和默认值仍然缺失。
• 升级后 CRD 版本变化，旧策略需要迁移。

相关命令

• kyverno — CLI 测试和策略管理
• kubectl — 查看策略、报告和事件
• helm — 安装和升级 Kyverno
• jq / yq — 处理策略 YAML