Kyverno

Cloud-natives Policy-Management 🎉

📑 Inhaltsverzeichnis

• Über Kyverno
• Nicht-Ziele
• Dokumentation
• Demos & Tutorials
• Beliebte Anwendungsfälle
• Policy-Bibliothek erkunden
• Hilfe erhalten
• Mitwirken
• Software-Stückliste
• Mitwirkende
• Lizenz

Über Kyverno

Kyverno ist eine Kubernetes-native Policy-Engine, die für Plattform-Engineering-Teams entwickelt wurde. Sie ermöglicht Sicherheit, Compliance, Automatisierung und Governance durch Policy-as-Code. Kyverno kann:

• Ressourcen mithilfe von Kubernetes-Admission-Controllern und Hintergrundscans validieren, mutieren, generieren und bereinigen.
• Container-Image-Signaturen für die Sicherheit der Lieferkette verifizieren.
• Mit Tools arbeiten, die Sie bereits verwenden – wie kubectl, kustomize und Git.

Nicht-Ziele

Kyverno kann ausschließlich die von Kubernetes verwendeten Richtlinien beeinflussen und ist nicht dafür ausgelegt, Kubernetes-Sicherheitslücken zu adressieren, die im Design inhärent sind. Beispielsweise kann es nicht vor Schwachstellen im Kubernetes-API-Server (z. B. Billion-Laughs-YAML-Deserialisierung oder einer fehlerhaften Admission-Controller-Implementierung) oder der zugrunde liegenden Infrastruktur schützen, und die Richtliniendurchsetzung von Kyverno kann umgangen werden, wenn Kubernetes selbst eine Sicherheitslücke aufweist. Kyverno setzt keine Sicherheitsanforderungen durch, die nicht explizit definiert wurden – es setzt nur die Richtlinien durch, die Benutzer definieren, und muss wie jedes andere Sicherheitsprodukt aktiv gepflegt werden.

Kyverno ersetzt Kubernetes RBAC nicht, sondern arbeitet mit ihm zusammen: RBAC kontrolliert den Zugriff, während Kyverno die Richtlinienkonformität durchsetzt. Cluster-Administratoren sollen RBAC verwenden, um die Autorisierung von Benutzern und Dienstkonten zu verwalten, und Kyverno für zusätzliche Prüfungen einsetzen, die RBAC nicht durchführen kann.

Kyverno ersetzt auch nicht die integrierten Richtlinienkontrollen von Kubernetes wie ValidatingAdmissionPolicies und MutatingAdmissionPolicies, sondern ergänzt diese nativen Kontrollen durch zusätzliche Funktionen wie umfassende Berichterstattung, Ausnahmeverwaltung und regelmäßige Hintergrundscans.

Mehrere Funktionen, die außerhalb des Kernumfangs der Engine liegen, werden von begleitenden Projekten in der Kyverno-Organisation übernommen: End-to-End-Testwerkzeuge (Chainsaw), Berichterstattung über Richtlinienverstöße und Benutzeroberfläche (Policy Reporter), Richtlinienbewertung für Nicht-Kubernetes-JSON-Nutzdaten (Kyverno JSON) und Autorisierungsrichtlinien für Service Meshes (Kyverno Envoy Plugin). Diese werden als separate Projekte mit eigenen Release-Zyklen gepflegt.

📙 Dokumentation

Die Installations- und Referenzdokumentation für Kyverno ist unter kyverno.io verfügbar.

• 👉 Schnellstart
• 👉 Installationsanleitung
• 👉 Policy-Bibliothek

🎥 Demos & Tutorials

• ▶️ Erste Schritte mit Kyverno – YouTube
• 🧪 Kyverno Playground

🎯 Beliebte Anwendungsfälle

Kyverno hilft Plattform-Teams, Best Practices und Sicherheitsstandards durchzusetzen. Einige häufige Anwendungsfälle sind:

1. Sicherheit & Compliance

• Pod-Sicherheitsstandards (PSS) durchsetzen
• Bestimmte Sicherheitskontexte verlangen
• Quellen und Signaturen von Container-Images validieren
• CIS-Benchmark-Richtlinien durchsetzen

2. Operative Exzellenz

• Workloads automatisch labeln
• Namenskonventionen durchsetzen
• Standardkonfigurationen generieren (z. B. NetworkPolicies)
• YAML- und Helm-Manifeste validieren

3. Kostenoptimierung

• Ressourcenkontingente und -limits durchsetzen
• Kostenzuordnungslabels verlangen
• Instanztypen validieren
• Nicht verwendete Ressourcen bereinigen

4. Entwickler-Leitplanken

• Readiness-/Liveness-Sonden verlangen
• Ingress-/Egress-Richtlinien durchsetzen
• Container-Image-Versionen validieren
• ConfigMaps oder Secrets automatisch injizieren

📚 Policy-Bibliothek erkunden

Entdecken Sie hunderte produktionsreife Kyverno-Richtlinien für Sicherheit, Betrieb, Kostenkontrolle und die Unterstützung von Entwicklern.

👉 Policy-Bibliothek durchsuchen

🙋 Hilfe erhalten

Wir sind gerne für Sie da:

• 🐞 Ein GitHub-Issue einreichen
• 💬 Dem Kyverno-Slack-Kanal beitreten
• 📅 An Community-Meetings teilnehmen
• ⭐️ Dieses Repository starren, um auf dem Laufenden zu bleiben

➕ Mitwirken

Vielen Dank für Ihr Interesse, zu Kyverno beizutragen!

• ✅ Lesen Sie die Beitragsrichtlinien
• 🤖 Lesen Sie die KI-Nutzungsrichtlinie
• 🧵 Nehmen Sie an den GitHub-Diskussionen teil
• 📖 Lesen Sie den Entwicklungsleitfaden
• 🏁 Schauen Sie sich Good First Issues an und fordern Sie sie mit /assign an
• 🌱 Entdecken Sie die Community-Seite

🧾 Software-Stückliste

Alle Kyverno-Images enthalten eine Software-Stückliste (SBOM – Software Bill of Materials) im CycloneDX-Format. Die SBOMs sind verfügbar unter:

• 👉 ghcr.io/kyverno/sbom
• 👉 Abrufen der SBOM

👥 Mitwirkende

Kyverno wird von unserer wachsenden Community aus Mitwirkenden entwickelt und gepflegt!

Erstellt mit contributors-img

📄 Lizenz

Copyright 2026, das Kyverno-Projekt. Alle Rechte vorbehalten.
Kyverno ist unter der Apache License 2.0 lizenziert.

Kyverno ist ein Cloud Native Computing Foundation (CNCF) Incubating-Projekt und wurde von Nirmata beigetragen.