ghcr.io/kyverno/background-controller:8198d2fe7670163730a887dd8061b60e21da971e

云原生策略管理 🎉

📑 目录

• 关于 Kyverno
• 非目标
• 📙 文档
• 🎥 演示与教程
• 🎯 常见使用场景
• 📚 浏览策略库
• 🙋 获取帮助
• ➕ 贡献指南
• 🧾 软件物料清单
• 👥 贡献者
• 📄 许可证

关于 Kyverno

Kyverno 是专为平台工程团队设计的 Kubernetes 原生策略引擎，可通过策略即代码的方式实现安全、合规、自动化与治理能力。Kyverno 支持以下能力：

• 借助 Kubernetes 准入控制与后台扫描，实现资源的校验、变更、生成与清理操作。
• 校验容器镜像签名，保障软件供应链安全。
• 可与你当前已使用的工具无缝协同，例如 kubectl、kustomize 与 Git。

非目标

Kyverno 仅能作用于 Kubernetes 所使用的策略，不用于修复 Kubernetes 设计层面固有的安全缺陷。例如，它无法抵御 Kubernetes API 服务器的漏洞（如 Billion Laughs YAML 反序列化漏洞、准入控制器实现缺陷）或底层基础设施的安全问题；若 Kubernetes 本身存在安全漏洞，Kyverno 的策略强制执行能力可能被绕过。Kyverno 仅会强制执行用户明确定义的策略，不会自动执行未声明的安全要求，且和所有安全产品一样，需要持续主动维护。

Kyverno 不会替代 Kubernetes RBAC，二者是协同工作的关系：RBAC 管控访问权限，Kyverno 负责强制执行策略合规要求。集群管理员应先使用 RBAC 管理用户与服务账号的授权，再通过 Kyverno 实现 RBAC 无法覆盖的额外校验逻辑。

同时 Kyverno 也不会替代 Kubernetes 内置的策略控制能力（如 ValidatingAdmissionPolicies 和 MutatingAdmissionPolicies），而是通过全面报表、异常管理、定期后台扫描等附加特性，对这些原生能力形成补充。

📙 文档

Kyverno 的安装指南与参考文档可在 kyverno.io 访问：

• 👉 快速入门
• 👉 安装指南
• 👉 策略库

🎥 演示与教程

• ▶️ Kyverno 入门教程 - ***
• 🧪 Kyverno 在线 playground

🎯 常见使用场景

Kyverno 可帮助平台团队落地最佳实践与安全标准，典型场景包括：

1. 安全与合规

• 强制执行 Pod 安全标准（PSS）
• 要求配置指定的安全上下文
• 校验容器镜像来源与签名
• 强制执行 CIS Benchmark 合规策略

2. 运维卓越性

• 自动为工作负载添加标签
• 强制执行资源命名规范
• 生成默认配置（例如 NetworkPolicies）
• 校验 YAML 与 Helm 清单的合法性

3. 成本优化

• 强制执行资源配额与资源限制规则
• 要求配置成本分配标签
• 校验实例类型合规性
• 自动清理未使用的闲置资源

4. 开发者防护栏

• 要求配置就绪探针/存活探针
• 强制实施入站/出站流量策略
• 校验容器镜像版本合规性
• 自动注入 ConfigMap 或 Secret

📚 浏览策略库

你可以在库中找到数百个面向生产环境的 Kyverno 策略，覆盖安全、运维、成本管控、开发者赋能等各类场景。

👉 浏览策略库

🙋 获取帮助

我们随时为你提供支持：

• 🐞 提交 https://github.com/kyverno/kyverno/issues 反馈问题
• 💬 加入 https://slack.k8s.io/#kyverno 参与讨论
• 📅 参与 社区会议
• ⭐️ https://github.com/kyverno/kyverno/stargazers 及时获取项目更新

➕ 贡献指南

感谢你对 Kyverno 贡献的兴趣：

• ✅ 阅读 贡献规范
• 🤖 阅读 https://github.com/kyverno/community/blob/main/AI_USAGE_POLICY.md
• 🧵 参与 https://github.com/kyverno/kyverno/discussions
• 📖 阅读 开发指南
• 🏁 查看 https://github.com/kyverno/kyverno/labels/good first issue，发送 /assign 指令即可申请认领
• 🌱 访问 社区页面 了解更多信息

🧾 软件物料清单

所有 Kyverno 镜像都内置了 CycloneDX 格式的软件物料清单（SBOM），你可以通过以下途径获取：

• 👉 https://github.com/orgs/kyverno/packages?tab=packages&q=sbom
• 👉 获取 SBOM 的操作指南

👥 贡献者

Kyverno 由不断壮大的贡献者社区共同构建与维护！

生成工具：contributors-img

📄 许可证

Kyverno 采用 Apache License 2.0 许可证开源。

Kyverno 是云原生计算基金会（CNCF）的孵化级项目，最初由 Nirmata 贡献。