3. 平台门户集成：平台门户如何集成 Kyverno 作为准入控制器

在云原生平台门户中，Kyverno 作为 Kubernetes 原生的动态准入控制器，其集成方式直接影响策略生效范围、运维复杂度以及性能基准测试的基线。本章聚焦于平台门户（如 Rancher、OpenShift Console、自研控制台）与 Kyverno 的集成架构、配置步骤及关键集成点，为后续性能基准测试奠定环境基础。

3.1 集成架构概览

平台门户集成 Kyverno 的核心思路是将 Kyverno 部署为集群内的 ValidatingAdmissionWebhook 与 MutatingAdmissionWebhook，并通过门户的扩展机制暴露策略管理、监控与审计能力。下图展示了典型集成架构：

3.2 集成步骤与配置清单

平台门户集成 Kyverno 通常包含以下 5 个步骤，每个步骤都涉及门户侧与集群侧的协同配置：

3.3 关键集成点：Webhook 配置与策略同步

集成过程中，ValidatingWebhookConfiguration 的生成与策略同步是两大核心难点。平台门户需要确保 Webhook 的 failurePolicy 与 timeoutSeconds 参数与性能基准测试目标一致。以下是一个典型的 Webhook 配置片段：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: kyverno-resource-validating-webhook
  labels:
    app: kyverno
webhooks:
- name: validate.kyverno.svc
  failurePolicy: Fail          # 生产环境建议 Fail，测试时可设为 Ignore
  timeoutSeconds: 10           # 默认 10s，性能测试可调整为 5s
  sideEffects: None
  admissionReviewVersions: ["v1"]
  clientConfig:
    service:
      name: kyverno-svc
      namespace: kyverno
      path: /validate
    caBundle: <base64-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["*"]
    apiVersions: ["*"]
    resources: ["pods", "deployments", "services", "configmaps"]
  matchConditions:
  - name: exclude-kyverno-ns
    expression: "object.metadata.namespace != 'kyverno'"

3.4 策略同步机制：从门户到集群

平台门户通常通过 Kubernetes API 的 CRD 接口直接管理 Kyverno 策略。策略同步流程分为“推模式”与“拉模式”两种：

• 推模式（Push）：门户通过 ServiceAccount 直接向集群写入 ClusterPolicy 或 Policy 资源，Kyverno 控制器实时监听并生效。延迟低，但需要门户具备集群写权限。
• 拉模式（Pull）：门户将策略存储于 Git 仓库或 ConfigMap，Kyverno 通过定期轮询或 Webhook 触发更新。安全性高，但同步延迟可能影响测试实时性。

在性能基准测试场景下，推荐使用 推模式 以减少同步变量对测试结果的影响。以下是一个通过门户 API 创建策略的示例：

# 门户后端调用 Kubernetes API 创建 ClusterPolicy
POST /apis/kyverno.io/v1/clusterpolicies
Content-Type: application/json

{
  "apiVersion": "kyverno.io/v1",
  "kind": "ClusterPolicy",
  "metadata": {
    "name": "require-pod-labels"
  },
  "spec": {
    "validationFailureAction": "Enforce",
    "rules": [
      {
        "name": "check-labels",
        "match": {
          "resources": {
            "kinds": ["Pod"]
          }
        },
        "validate": {
          "message": "Pod must have label 'app'",
          "pattern": {
            "metadata": {
              "labels": {
                "app": "?*"
              }
            }
          }
        }
      }
    ]
  }
}

3.5 集成验证与健康检查

完成集成后，平台门户应提供以下验证能力，确保 Kyverno 准入控制器正常工作：