Kyverno

クラウドネイティブなポリシー管理 🎉

License: Apache-2.0

📑 目次

Kyvernoについて
対象外
ドキュメント
デモとチュートリアル
人気のユースケース
ポリシーライブラリを探索する
サポート
コントリビューション
ソフトウェア部品表
コントリビューター
ライセンス

Kyvernoについて

Kyvernoは、プラットフォームエンジニアリングチーム向けに設計されたKubernetesネイティブのポリシーエンジンです。ポリシー・アズ・コードにより、セキュリティ、コンプライアンス、自動化、ガバナンスを実現します。Kyvernoでは、以下のことが可能です。

Kubernetesのアドミッションコントロールとバックグラウンドスキャンを使用して、リソースの検証、変更、生成、クリーンアップを行えます。
サプライチェーンセキュリティのためにコンテナイメージの署名を検証できます。
kubectl、kustomize、Gitなど、すでに使用しているツールと連携して運用できます。

対象外

Kyvernoは、Kubernetesで使用されるポリシーにのみ影響を与えることができ、Kubernetesの設計に内在するセキュリティ上の欠陥に対処するようには設計されていません。たとえば、Kubernetes APIサーバーの脆弱性（Billion Laughs YAMLデシリアライゼーションや、不具合のあるAdmission Controllerの実装など）や基盤となるインフラストラクチャの脆弱性から保護することはできません。また、Kubernetes自体にセキュリティ上の欠陥がある場合、Kyvernoのポリシー適用が回避される可能性があります。Kyvernoは、明示的に定義されていないセキュリティ要件を強制することはなく、ユーザーが定義したポリシーのみを強制します。他のセキュリティ製品と同様に、積極的にメンテナンスする必要があります。

KyvernoはKubernetes RBACを置き換えるものではなく、RBACと連携して機能します。RBACがアクセスを制御する一方、Kyvernoはポリシーの準拠を強制します。クラスター管理者は、RBACを使用してユーザーおよびサービスアカウントの認可を管理し、その上でRBACでは実行できない追加のチェックにKyvernoを活用することが期待されています。

Kyvernoはまた、ValidatingAdmissionPoliciesやMutatingAdmissionPoliciesなどのKubernetes組み込みのポリシー制御を置き換えるものではなく、包括的なレポート、例外管理、定期的なバックグラウンドスキャンなどの追加機能でこれらのネイティブ制御を補完します。

コアエンジンの対象外となるいくつかの機能は、Kyverno組織の関連プロジェクトによって対応されています。エンドツーエンドのテストツール（Chainsaw）、ポリシー違反のレポートとUI（Policy Reporter）、Kubernetes以外のJSONペイロード向けのポリシー評価（Kyverno JSON）、サービスメッシュ向けの認可ポリシー（Kyverno Envoy Plugin）です。これらは独自のリリースサイクルを持つ別個のプロジェクトとして維持されています。