ghcr.io/kyverno/reports-controller:210d42a089415e46ef5889cb5d022e0113f8def3

云原生策略管理 🎉

📑 目录

• 关于 Kyverno
• 非目标
• 文档
• 演示与教程
• 主流使用场景
• 探索策略库
• 获取帮助
• 贡献指南
• 软件物料清单
• 贡献者
• 许可证

关于 Kyverno

Kyverno 是面向平台工程团队设计的 Kubernetes 原生策略引擎。它通过策略即代码的方式实现安全、合规、自动化与治理能力。Kyverno 支持以下功能：

• 借助 Kubernetes 准入控制和后台扫描，完成资源的校验、变更、生成与清理操作
• 校验容器镜像签名，保障软件供应链安全
• 可与您已在使用的工具协同工作，例如 kubectl、kustomize 和 Git

非目标

Kyverno 仅能作用于 Kubernetes 所使用的策略，并不用于解决 Kubernetes 设计层面固有的安全缺陷。例如，它无法防护 Kubernetes API 服务器的漏洞（如“十亿次笑声”YAML 反序列化漏洞、准入控制器实现缺陷）或底层基础设施的漏洞；若 Kubernetes 自身存在安全缺陷，Kyverno 的策略强制能力可能被绕过。Kyverno 不会强制实施未明确定义的安全要求，仅会强制执行用户自定义的策略，且与其他安全产品一样，需要主动进行维护。

Kyverno 并不会替代 Kubernetes RBAC，而是与 RBAC 协同工作：RBAC 负责控制访问权限，Kyverno 负责强制执行策略合规性。集群管理员应使用 RBAC 管理用户与服务账号的授权，再通过 Kyverno 实现 RBAC 无法完成的额外校验能力。

Kyverno 也不会替代 Kubernetes 内置的策略控制机制，例如 ValidatingAdmissionPolicies 和 MutatingAdmissionPolicies，而是通过全面报告、异常管理、周期性后台扫描等附加功能，对这些原生控制能力形成补充。

📙 文档

Kyverno 的安装文档与参考文档可在 kyverno.io 获取。

• 👉 快速入门
• 👉 安装指南
• 👉 策略库

🎥 演示与教程

• ▶️ Kyverno 入门教程 – ***
• 🧪 Kyverno 沙箱

🎯 主流使用场景

Kyverno 可帮助平台团队落地最佳实践与安全标准，常见使用场景包括：

1. 安全与合规

• 强制执行 Pod 安全标准（PSS）
• 要求配置指定的安全上下文
• 校验容器镜像来源与签名
• 强制执行 CIS 基准策略

2. 卓越运维

• 自动为工作负载添加标签
• 强制执行命名规范
• 生成默认配置（例如 NetworkPolicies）
• 校验 YAML 与 Helm 清单

3. 成本优化

• 强制执行资源配额与限制
• 要求配置成本分摊标签
• 校验实例类型合法性
• 清理未使用的资源

4. 开发者防护护栏

• 要求配置就绪态/存活态探针
• 强制执行入站/出站策略
• 校验容器镜像版本合法性
• 自动注入 ConfigMap 或 Secret

📚 探索策略库

库中包含数百个可直接用于生产环境的 Kyverno 策略，覆盖安全、运维、成本管控与开发者赋能场景。

👉 浏览策略库

🙋 获取帮助

我们随时为您提供支持：

• 🐞 提交 https://github.com/kyverno/kyverno/issues
• 💬 加入 https://slack.k8s.io/#kyverno
• 📅 参与 社区会议
• ⭐️ https://github.com/kyverno/kyverno/stargazers 以获取最新动态

➕ 贡献指南

感谢您对 Kyverno 贡献的关注！

• ✅ 阅读 贡献准则
• 🤖 阅读 https://github.com/kyverno/community/blob/main/AI_USAGE_POLICY.md
• 🧵 参与 https://github.com/kyverno/kyverno/discussions
• 📖 阅读 开发指南
• 🏁 查看 https://github.com/kyverno/kyverno/labels/good first issue，并通过 /assign 命令申请分配
• 🌱 浏览 社区页面

🧾 软件物料清单

所有 Kyverno 镜像均包含 CycloneDX 格式的软件物料清单（SBOM）。SBOM 可通过以下途径获取：

• 👉 https://github.com/orgs/kyverno/packages?tab=packages&q=sbom
• 👉 获取 SBOM

👥 贡献者

Kyverno 由不断壮大的贡献者社区共同构建和维护！

借助 contributors-img 生成

📄 许可证

Kyverno 采用 Apache 2.0 许可证 开源。

Kyverno 是 https://www.cncf.io/projects/，由 Nirmata ***。