4. Kyverno 策略引擎架构：准入控制 Webhook、策略执行流程、匹配与排除逻辑

Kyverno 作为 Kubernetes 原生的策略引擎，其核心架构围绕 动态准入控制 Webhook 构建。理解其内部组件协作、策略执行的生命周期以及灵活的匹配/排除机制，是编写高效、安全策略的基础。本章将深入剖析 Kyverno 的运行时架构，从请求拦截到策略评估的完整链路。

4.1 核心架构组件与准入控制 Webhook

Kyverno 以 Deployment 形式运行在集群内，通过注册 MutatingAdmissionWebhook 和 ValidatingAdmissionWebhook 来拦截所有匹配的 API 请求。其架构主要包含以下组件：

4.2 策略执行流程：从请求到响应

当一个资源请求（如创建 Pod）到达 kube-apiserver 时，Kyverno 的策略执行流程分为以下 6 个阶段：

1. 请求拦截：kube-apiserver 根据 Webhook 配置的 rules（资源、操作、API 组）判断是否将请求转发给 Kyverno。
2. 策略匹配：Webhook Server 将请求中的资源对象与所有已启用的 ClusterPolicy / Policy 进行 match 条件匹配。
3. 变量解析：对于匹配的策略，Engine 解析规则中的变量（如 {{ request.object.metadata.name }}、{{ images.containers[*].name }}）。
4. 规则执行：按规则类型依次执行：
   • Mutating：先执行 mutate 规则（如注入 Sidecar、添加标签），生成 JSON Patch。
   • Validating：再执行 validate 规则（如检查特权容器、强制只读根文件系统）。
   • Generate：对于创建请求，检查是否需要生成关联资源（如自动创建 NetworkPolicy）。
5. 响应聚合：将所有规则的执行结果（允许/拒绝/补丁）聚合成一个 AdmissionResponse。
6. 返回结果：Webhook Server 将响应返回给 kube-apiserver，apiserver 根据结果决定是否允许请求继续。

4.3 匹配与排除逻辑：精准控制策略作用域

Kyverno 通过 match 和 exclude 字段实现精细的资源选择。这两个字段支持多种匹配维度，且 exclude 优先级高于 match：即使资源匹配了 match 条件，如果也匹配了 exclude 条件，则策略不会执行。

4.3.1 匹配维度与语法

4.3.2 匹配与排除的优先级规则

• 同一策略内：exclude 的匹配条件与 match 独立评估。如果资源同时满足 match 和 exclude，则 exclude 生效，策略跳过。
• 多策略间：每个策略独立评估。一个资源可能被多个策略匹配，每个策略都会执行其规则。
• 全局排除：Kyverno 支持在 Webhook 配置级别排除特定命名空间（如 kube-system）或资源类型，避免影响系统组件。

4.3.3 实战示例：精细控制策略作用域

以下策略演示了如何结合 match 和 exclude 实现“对 production 命名空间中所有非 kube-system 的 Pod 强制执行只读根文件系统”：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-readonly-rootfs
spec:
  validationFailureAction: Enforce
  rules:
    - name: check-readonly-rootfs
      match:
        resources:
          kinds:
            - Pod
          namespaces:
            - production
      exclude:
        resources:
          namespaces:
            - kube-system
          names:
            - "*-init-*"
      validate:
        message: "所有 production 命名空间的容器必须设置 readOnlyRootFilesystem: true"
        pattern:
          spec:
            containers:
              - securityContext:
                  readOnlyRootFilesystem: true

4.4 策略执行模式：Enforce 与 Audit

Kyverno 支持两种执行模式，通过 validationFailureAction 字段控制：