ghcr.io/kyverno/cleanup-controller:ce431920502a2573990e8a491fde9ae48a6b0c76

云原生策略管理 🎉

📑 目录

• 关于 Kyverno
• 非目标
• 文档
• 演示与教程
• 常见用例
• 探索策略库
• 获取帮助
• 贡献指南
• 软件物料清单
• 贡献者
• 许可协议

关于 Kyverno

Kyverno 是一款专为平台工程团队设计的 Kubernetes 原生策略引擎。它通过策略即代码（policy-as-code）实现安全、合规、自动化和治理。Kyverno 能够：

• 使用 Kubernetes 准入控制和后台扫描来验证、变异、生成和清理资源。
• 验证容器镜像签名以保障供应链安全。
• 与您已在使用的工具（如 kubectl、kustomize 和 Git）协同工作。

非目标

Kyverno 仅能影响 Kubernetes 所使用的策略，并非旨在解决 Kubernetes 设计中固有的安全缺陷。例如，它无法防御 Kubernetes API 服务器中的漏洞（如 Billion Laughs YAML 反序列化漏洞或有缺陷的准入控制器实现）或底层基础设施问题；如果 Kubernetes 本身存在安全缺陷，Kyverno 的策略执行可能会被绕过。Kyverno 不会强制执行未明确定义的安全要求——它仅执行用户定义的策略，且必须像其他安全产品一样进行主动维护。

Kyverno 不会替代 Kubernetes RBAC，而是与其协同工作：RBAC 控制访问权限，而 Kyverno 强制执行策略合规性。集群管理员应使用 RBAC 管理用户和服务账户的授权，然后利用 Kyverno 执行 RBAC 无法完成的额外检查。

Kyverno 也不会替代 Kubernetes 内置的策略控制（如 ValidatingAdmissionPolicies 和 MutatingAdmissionPolicies），而是通过全面报告、异常管理和定期后台扫描等附加功能对这些原生控制进行补充。

📙 文档

Kyverno 安装和参考文档可在 kyverno.io 获取。

• 👉 快速入门
• 👉 安装指南
• 👉 策略库

🎥 演示与教程

• ▶️ Kyverno 入门 – ***
• 🧪 Kyverno playground

🎯 常见用例

Kyverno 帮助平台团队执行最佳实践和安全标准。一些常见用例包括：

1. 安全与合规

• 强制执行 Pod 安全标准 (PSS)
• 要求特定的安全上下文
• 验证容器镜像来源和签名
• 执行 CIS 基准策略

2. 运维卓越

• 自动为工作负载添加标签
• 强制执行命名规范
• 生成默认配置（如 NetworkPolicies）
• 验证 YAML 和 Helm 清单

3. 成本优化

• 强制执行资源配额和限制
• 要求成本分配标签
• 验证实例类型
• 清理未使用资源

4. 开发者护栏

• 要求就绪/存活探针
• 强制执行入口/出口策略
• 验证容器镜像版本
• 自动注入配置映射或密钥

📚 探索策略库

探索数百个可用于生产环境的 Kyverno 策略，涵盖安全、运维、成本控制和开发者赋能等领域。

👉 浏览策略库

🙋 获取帮助

我们随时为您提供帮助：

• 🐞 提交 https://github.com/kyverno/kyverno/issues
• 💬 加入 https://slack.k8s.io/#kyverno
• 📅 参加 社区会议
• ⭐️ https://github.com/kyverno/kyverno/stargazers 以获取更新

➕ 贡献指南

感谢您对贡献 Kyverno 的兴趣！

• ✅ 阅读 贡献指南
• 🤖 阅读 https://github.com/kyverno/community/blob/main/AI_USAGE_POLICY.md
• 🧵 加入 https://github.com/kyverno/kyverno/discussions
• 📖 阅读 开发指南
• 🏁 查看 https://github.com/kyverno/kyverno/labels/good%20first%20issue 并使用 /assign 请求分配
• 🌱 浏览 社区页面

🧾 软件物料清单

所有 Kyverno 镜像均包含 CycloneDX 格式的软件物料清单 (SBOM)。SBOM 可通过以下途径获取：

• 👉 https://github.com/orgs/kyverno/packages?tab=packages&q=sbom
• 👉 获取 SBOM

👥 贡献者

Kyverno 由不断壮大的贡献者社区构建和维护！

使用 contributors-img 生成

📄 许可协议

Kyverno 采用 Apache License 2.0 许可协议。

Kyverno 是 https://www.cncf.io/projects/%EF%BC%8C%E7%94%B1 Nirmata 贡献。