ghcr.io/kyverno/cleanup-controller:e3eaf6ff404354ff0ef098ea006a1460e58cd6ab

云原生策略管理 🎉

📑 目录

• 关于 Kyverno
• 非目标
• 文档
• 演示与教程
• 热门使用场景
• 探索策略库
• 获取帮助
• 贡献指南
• 软件物料清单
• 贡献者
• 许可证

关于 Kyverno

Kyverno 是面向平台工程团队的 Kubernetes 原生策略引擎，可通过策略即代码实现安全、合规、自动化与治理能力。Kyverno 可实现以下功能：

• 借助 Kubernetes 准入控制与后台扫描能力，对资源执行校验、变更、生成与清理操作
• 验证容器镜像签名，保障软件供应链安全
• 兼容您当前正在使用的工具链，例如 kubectl、kustomize 和 Git

非目标

Kyverno 仅可作用于 Kubernetes 所使用的策略，不被设计用于修复 Kubernetes 自身架构层面固有的安全缺陷。例如，它无法抵御 Kubernetes API server 中的漏洞（如“十亿笑”YAML 反序列化漏洞、存在缺陷的准入控制器实现）或底层基础设施的安全问题，且如果 Kubernetes 本身存在安全缺陷，Kyverno 的策略强制执行能力可能被绕过。Kyverno 不会强制执行未明确定义的安全要求，仅会执行用户自定义的策略，且与其他安全产品一样，需要主动进行维护。

Kyverno 不会替代 Kubernetes RBAC，而是与 RBAC 协同工作：RBAC 负责控制访问权限，Kyverno 负责强制执行策略合规性。集群管理员应使用 RBAC 管理用户与服务账号的授权，再通过 Kyverno 实现 RBAC 无法提供的额外校验能力。

Kyverno 同样不会替代 Kubernetes 内置的策略控制组件（如 ValidatingAdmissionPolicies 和 MutatingAdmissionPolicies），而是对这些原生控制能力进行补充，提供全面报告、异常管理、定期后台扫描等额外特性。

📙 文档

Kyverno 的安装指南与参考文档可在 kyverno.io 查看：

• 👉 快速入门
• 👉 安装指南
• 👉 策略库

🎥 演示与教程

• ▶️ Kyverno 入门教程 - ***
• 🧪 Kyverno 沙箱

🎯 热门使用场景

Kyverno 可帮助平台团队落地最佳实践与安全标准，常见使用场景包括：

1. 安全与合规

• 强制执行 Pod 安全标准（PSS）
• 强制配置指定的安全上下文
• 校验容器镜像来源与签名
• 强制执行 CIS 基准策略

2. 卓越运维

• 自动为工作负载添加标签
• 强制执行命名规范
• 生成默认配置（例如 NetworkPolicies）
• 校验 YAML 与 Helm 清单文件

3. 成本优化

• 强制执行资源配额与限制
• 强制要求配置成本分摊标签
• 校验实例类型合规性
• 清理未使用的资源

4. 开发者防护机制

• 强制要求配置就绪探针/存活探针
• 强制执行入站/出站流量策略
• 校验容器镜像版本合规性
• 自动注入 ConfigMap 或 Secret

📚 探索策略库

您可以在这里找到数百个面向生产环境的 Kyverno 策略，覆盖安全、运维、成本管控与开发者赋能场景。

👉 浏览策略库

🙋 获取帮助

我们随时为您提供支持：

• 🐞 提交 https://github.com/kyverno/kyverno/issues
• 💬 加入 https://slack.k8s.io/#kyverno
• 📅 参与 社区会议
• ⭐️ https://github.com/kyverno/kyverno/stargazers 以获取最新动态

➕ 贡献指南

感谢您对为 Kyverno 贡献代码的兴趣：

• ✅ 阅读 贡献指南
• 🤖 阅读 https://github.com/kyverno/community/blob/main/AI_USAGE_POLICY.md
• 🧵 参与 https://github.com/kyverno/kyverno/discussions
• 📖 阅读 开发指南
• 🏁 查看 https://github.com/kyverno/kyverno/labels/good first issue，使用 /assign 命令申请认领
• 🌱 查看 社区页面

🧾 软件物料清单

所有 Kyverno 镜像均内嵌 CycloneDX 格式的软件物料清单（SBOM）。SBOM 可通过以下渠道获取：

• 👉 https://github.com/orgs/kyverno/packages?tab=packages&q=sbom
• 👉 获取 SBOM

👥 贡献者

Kyverno 由持续壮大的贡献者社区共同构建与维护！

使用 contributors-img 生成

📄 许可证

Kyverno 采用 Apache License 2.0 许可证授权。

Kyverno 是 https://www.cncf.io/projects/，由 Nirmata 贡献。