2. Kyverno 核心概念：策略、规则、匹配、排除、变异、验证、生成

Kyverno 的策略引擎围绕一组清晰的核心概念构建。理解这些概念是编写、调试和迁移策略的基础。本章将逐一拆解 策略（Policy）、规则（Rule）、匹配（Match）、排除（Exclude）、变异（Mutate）、验证（Validate） 和 生成（Generate） 七个核心要素，并展示它们之间的协作关系。

2.1 策略（Policy）与规则（Rule）

策略是 Kyverno 的最高级资源对象，它包含一个或多个规则。策略分为两种类型：

• ClusterPolicy：集群作用域，可匹配任何命名空间或集群级别的资源。
• Policy：命名空间作用域，仅匹配同一命名空间内的资源。

每个策略下的规则是独立的执行单元。一条规则必须包含一个 match 声明，并至少包含一个操作（mutate、validate 或 generate）。

# 一个典型的 ClusterPolicy 结构示例
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-pod-limits
spec:
  rules:
    - name: check-limits
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: "Pod 必须设置 CPU 和内存限制。"
        pattern:
          spec:
            containers:
              - resources:
                  limits:
                    memory: "?*"
                    cpu: "?*"

2.2 匹配（Match）与排除（Exclude）

匹配定义了规则生效的目标资源集合。排除则从匹配集合中移除特定资源。两者共同决定了规则的“作用域”。

匹配和排除支持以下筛选维度：

• 资源类型（kinds）：如 Pod、Deployment、Namespace。
• 标签选择器（selector）：基于标签的匹配与排除。
• 命名空间（namespaces）：仅适用于命名空间作用域的资源。
• 名称（name）：精确匹配或通配符匹配资源名称。
• 用户信息（subjects）：基于发起请求的 Kubernetes 用户、组或 ServiceAccount。

# 匹配与排除的典型用法
rules:
  - name: exclude-kube-system
    match:
      any:
        - resources:
            kinds:
              - Pod
    exclude:
      any:
        - resources:
            namespaces:
              - kube-system
              - kube-public
    validate:
      # 验证逻辑...

2.3 变异（Mutate）

变异在资源被持久化到 etcd 之前，对资源进行修改。这是 Kyverno 最强大的能力之一，常用于注入 Sidecar、添加标签、设置默认值或修补安全上下文。

变异支持两种模式：

• overlay（覆盖）：使用 YAML 覆盖层直接修改资源字段。如果目标字段不存在则创建，存在则覆盖。
• patchStrategicMerge / patchJSON6902：使用 JSON 补丁或策略合并补丁进行更精细的修改。

# 使用 overlay 模式为所有 Pod 注入 sidecar 代理
rules:
  - name: inject-sidecar
    match:
      any:
        - resources:
            kinds:
              - Pod
    mutate:
      overlay:
        spec:
          containers:
            - name: sidecar-proxy
              image: proxy:latest
              ports:
                - containerPort: 8080

2.4 验证（Validate）

验证是策略引擎的核心安全功能。它检查资源是否符合预定义规则，不符合时可以选择拒绝请求或仅生成告警。

验证模式包括：

# 使用 deny 模式禁止 latest 镜像标签
rules:
  - name: deny-latest-tag
    match:
      any:
        - resources:
            kinds:
              - Pod
    validate:
      message: "禁止使用 latest 镜像标签。"
      deny:
        conditions:
          any:
            - key: "{{ request.object.spec.containers[].image }}"
              operator: AnyIn
              value:
                - ":latest"

2.5 生成（Generate）

生成允许 Kyverno 在创建源资源时，自动创建关联资源。这是实现“策略即代码”自动化的关键能力，常用于：

• 为每个 Namespace 自动创建 NetworkPolicy。
• 为特定标签的 Pod 自动生成对应的 Service。
• 为每个团队 Namespace 创建 ResourceQuota 和 LimitRange。

生成规则支持 synchronize 属性：启用后，Kyverno 会持续同步生成的资源，确保源资源更新时生成资源也随之更新。

# 为每个新 Namespace 自动生成默认的 NetworkPolicy
rules:
  - name: generate-default-networkpolicy
    match:
      any:
        - resources:
            kinds:
              - Namespace
    generate:
      kind: NetworkPolicy
      name: default-deny-all
      namespace: "{{ request.object.metadata.name }}"
      synchronize: true
      data:
        spec:
          podSelector: {}
          policyTypes:
            - Ingress
            - Egress

2.6 核心概念关系总览

下图展示了七个核心概念在 Kyverno 策略引擎中的完整协作关系：

2.7 概念对比速查表