Kyverno

클라우드 네이티브 정책 관리 🎉

License: Apache-2.0

📑 목차

Kyverno 소개
비목표
문서
데모 및 튜토리얼
주요 사용 사례
정책 라이브러리 살펴보기
도움말
기여
소프트웨어 자재 명세서(SBOM)
기여자
라이선스

Kyverno 소개

Kyverno는 플랫폼 엔지니어링 팀을 위해 설계된 Kubernetes 네이티브 정책 엔진입니다. 정책을 코드로 작성(policy-as-code)하여 보안, 규정 준수, 자동화 및 거버넌스를 구현합니다. Kyverno는 다음을 수행할 수 있습니다:

Kubernetes 어드미션 컨트롤과 백그라운드 스캔을 사용하여 리소스를 검증, 변경, 생성 및 정리할 수 있습니다.
공급망 보안을 위해 컨테이너 이미지 서명을 검증할 수 있습니다.
kubectl, kustomize, Git과 같이 이미 사용 중인 도구와 함께 작동합니다.

비목표

Kyverno는 Kubernetes에서 사용되는 정책에만 영향을 미칠 수 있으며 Kubernetes 설계에 내재된 보안 결함을 해결하도록 설계되지는 않았습니다. 예를 들어 Kubernetes API 서버의 취약점(예: Billion Laughs YAML 역직렬화, 결함이 있는 Admission Controller 구현)이나 기본 인프라의 취약점으로부터 보호할 수 없으며, Kubernetes 자체에 보안 결함이 있는 경우 Kyverno의 정책 적용이 우회될 수 있습니다. Kyverno는 명시적으로 정의되지 않은 보안 요구 사항을 강제하지 않습니다. 사용자가 정의한 정책만 적용하며 다른 보안 제품과 마찬가지로 적극적으로 유지 관리되어야 합니다.

Kyverno는 Kubernetes RBAC를 대체하지 않고 RBAC와 함께 작동합니다. RBAC는 액세스를 제어하고 Kyverno는 정책 준수를 적용합니다. 클러스터 관리자는 RBAC를 사용하여 사용자 및 서비스 계정 권한을 관리하고, RBAC가 수행할 수 없는 추가 검사를 위해 Kyverno를 활용할 것으로 기대됩니다.

Kyverno는 또한 ValidatingAdmissionPolicies 및 MutatingAdmissionPolicies와 같은 Kubernetes 내장 정책 컨트롤을 대체하지 않지만, 포괄적인 리포팅, 예외 관리, 주기적인 백그라운드 스캔과 같은 추가 기능으로 이러한 네이티브 컨트롤을 보완합니다.

핵심 엔진의 범위를 벗어난 여러 기능은 Kyverno 조직의 동반 프로젝트에서 다룹니다. E2E 테스트 도구(Chainsaw), 정책 위반 리포팅 및 UI(Policy Reporter), Kubernetes 외 JSON 페이로드에 대한 정책 평가(Kyverno JSON), 서비스 메시용 인가 정책(Kyverno Envoy Plugin)입니다. 이들은 각각 자체 릴리스 주기로 별도의 프로젝트로 유지 관리됩니다.