Kyverno

云原生策略管理 🎉

License: Apache-2.0

📑 目录

关于 Kyverno
非目标
文档
演示与教程
常见用例
浏览策略库
获取帮助
参与贡献
软件物料清单
贡献者
许可证

关于 Kyverno

Kyverno 是一个面向平台工程团队的 Kubernetes 原生策略引擎。它通过策略即代码实现安全、合规、自动化和治理。Kyverno 可以：

使用 Kubernetes 准入控制和后台扫描验证、变更、生成和清理资源。
验证容器镜像签名以确保供应链安全。
与你已经在使用的工具协同工作 — 例如 kubectl、kustomize 和 Git。

非目标

Kyverno 只能影响 Kubernetes 所使用的策略，并且不是为解决 Kubernetes 设计中固有的安全缺陷而设计的。例如，它无法防御 Kubernetes API 服务器（如 Billion Laughs YAML 反序列化或故障的 Admission Controller 实现）或底层基础设施中的漏洞，而且如果 Kubernetes 本身存在安全缺陷，Kyverno 的策略执行可能会被绕过。Kyverno 不强制执行未明确定义的安全要求——它只执行用户定义的策略，并且必须像任何其他安全产品一样积极维护。

Kyverno 不会取代 Kubernetes RBAC，而是与其协同工作：RBAC 控制访问，而 Kyverno 强制执行策略合规性。集群管理员应使用 RBAC 管理用户和服务账号授权，然后利用 Kyverno 执行 RBAC 无法完成的额外检查。

Kyverno 也不会取代 Kubernetes 内置的策略控制（如 ValidatingAdmissionPolicies 和 MutatingAdmissionPolicies），而是通过综合报告、例外管理和定期后台扫描等附加功能来补充这些原生控制。

核心引擎范围之外的若干能力由 Kyverno 组织中的配套项目解决：端到端测试工具（Chainsaw）、策略违规报告和 UI（Policy Reporter）、针对非 Kubernetes JSON 负载的策略评估（Kyverno JSON）以及服务网格的授权策略（Kyverno Envoy Plugin）。这些项目作为独立项目维护，拥有各自的发布周期。