ghcr.io/kyverno/kyverno:v1.12.6

ghcr.io/kyverno/kyverno 是 Kubernetes 策略引擎 Kyverno 的官方容器镜像，供用户在集群中部署和运行 Kyverno 服务。Kyverno 是一款 Kubernetes 原生工具，核心功能是通过声明式策略管理集群资源，无需额外学习复杂的策略语言，直接用 YAML 定义规则。

核心功能

Kyverno 主要解决三类问题：

1. 策略验证：检查资源是否符合安全或配置要求，比如禁止创建特权容器、强制镜像使用私有仓库地址、限制 Pod 资源请求范围等。若资源违反规则，可直接阻止创建或标记为不合规。
2. 策略突变：自动修改资源配置，例如为所有新部署的 Pod 自动添加标签、注入环境变量，或调整镜像拉取策略，减少手动配置工作量。
3. 策略生成：根据现有资源自动创建关联对象，比如当创建 Namespace 时，自动生成对应的 NetworkPolicy 或 ResourceQuota，简化集群管理流程。

此外，Kyverno 还支持审计功能，定期扫描已有资源，生成合规报告，帮助管理员追踪集群状态。

部署与使用

通过该镜像部署 Kyverno 时，用户只需将镜像地址配置到 Deployment 或 DaemonSet 中，Kyverno 会以 Pod 形式运行在集群内，通过 Kubernetes API 监听资源变化并执行策略。策略定义为 CustomResourceDefinition (CRD)，例如 ClusterPolicy 或 Policy，用户可通过 kubectl apply 直接提交，无需额外组件依赖。

优势与适用场景

作为 Kubernetes 原生工具，Kyverno 与集群深度集成，无需部署第三方服务器，资源占用低。其策略规则易于编写和维护，适合 GitOps 工作流——策略文件可存入 Git 仓库，通过 CI/CD 工具自动同步到集群，实现策略即代码。

该镜像符合 OCI 容器标准，支持主流容器运行时（如 containerd、CRI-O），且定期更新版本，包含安全补丁，适合对集群安全合规要求高的场景，比如***、电商等需要严格管控资源配置的行业。

总之，ghcr.io/kyverno/kyverno 镜像为 Kyverno 的部署提供了便捷途径，而 Kyverno 本身则通过简单、灵活的方式，帮助 Kubernetes 管理员高效管理集群策略，提升集群安全性和配置一致性。