3. 安装与部署：Helm安装Kyverno、配置高可用、验证安装状态

本章将指导你使用 Helm 包管理器在生产环境中安装 Kyverno，配置控制平面组件的高可用模式，并通过多种手段验证安装状态。Kyverno 作为 Kubernetes 原生的策略引擎，其部署方式直接影响策略生效的可靠性与集群安全基线的稳定性。

3.1 环境准备与前置检查

在安装 Kyverno 之前，请确保目标集群满足以下最低要求：

3.2 使用 Helm 安装 Kyverno

Kyverno 官方维护的 Helm Chart 位于 kyverno/kyverno 仓库。推荐使用 OCI 方式拉取 Chart 包，确保版本一致性与签名验证。

3.2.1 添加 Helm 仓库并更新

# 添加 Kyverno 官方 Helm 仓库
helm repo add kyverno https://kyverno.github.io/kyverno/

# 更新本地仓库索引
helm repo update

# 搜索可用版本（可选）
helm search repo kyverno/kyverno --versions

3.2.2 安装 Kyverno（单副本模式）

以下命令在 kyverno 命名空间中安装 Kyverno v3.2.x，包含核心控制器、准入 Webhook 和清理控制器：

# 创建命名空间
kubectl create namespace kyverno

# 使用 Helm 安装（单副本，适合测试环境）
helm install kyverno kyverno/kyverno \
  --namespace kyverno \
  --version v3.2.6 \
  --set replicaCount=1 \
  --set webhooks.forceUpdate=true

3.3 配置高可用（HA）部署

生产环境必须启用高可用模式，确保策略引擎在节点故障时持续可用。Kyverno 的高可用依赖多副本部署、Pod 反亲和性以及可选的 Leader Election 配置。

3.3.1 高可用 Helm values 文件

创建 kyverno-ha-values.yaml 文件，包含以下核心配置：

# kyverno-ha-values.yaml
replicaCount: 3

podAntiAffinity:
  preferredDuringSchedulingIgnoredDuringExecution:
    - weight: 100
      podAffinityTerm:
        labelSelector:
          matchExpressions:
            - key: app.kubernetes.io/name
              operator: In
              values:
                - kyverno
        topologyKey: kubernetes.io/hostname

resources:
  requests:
    cpu: 500m
    memory: 512Mi
  limits:
    cpu: 2
    memory: 2Gi

webhooks:
  forceUpdate: true
  service:
    type: ClusterIP

metrics:
  enabled: true
  serviceMonitor:
    enabled: true

leaderElection:
  enabled: true
  leaseDuration: 15s
  renewDeadline: 10s
  retryPeriod: 2s

3.3.2 执行高可用安装

helm upgrade --install kyverno kyverno/kyverno \
  --namespace kyverno \
  --version v3.2.6 \
  --values kyverno-ha-values.yaml \
  --wait

3.4 验证安装状态

安装完成后，通过以下步骤全面验证 Kyverno 是否正常运行。

3.4.1 检查 Pod 状态

# 查看所有 Kyverno 相关 Pod
kubectl get pods -n kyverno -o wide

# 预期输出示例（高可用模式）：
# NAME                              READY   STATUS    RESTARTS   AGE
# kyverno-7d8f9c6b9c-abc12          1/1     Running   0          5m
# kyverno-7d8f9c6b9c-def34          1/1     Running   0          5m
# kyverno-7d8f9c6b9c-ghi56          1/1     Running   0          5m
# kyverno-cleanup-controller-xyz    1/1     Running   0          5m

3.4.2 验证 Webhook 配置

# 列出 Kyverno 注册的 Webhook
kubectl get validatingwebhookconfiguration -l webhook.kyverno.io/managed-by=kyverno
kubectl get mutatingwebhookconfiguration -l webhook.kyverno.io/managed-by=kyverno

# 检查 Webhook 是否处于 Active 状态
kubectl get validatingwebhookconfiguration kyverno-resource-validating-webhook-cfg -o jsonpath='{.webhooks[0].clientConfig.service}'

3.4.3 测试策略执行

部署一个简单的测试策略，验证 Kyverno 是否能够拦截并处理资源：

# 创建测试策略：禁止特权容器
cat <

# 1. 备份当前 values
helm get values kyverno -n kyverno -o yaml > kyverno-backup-values.yaml

# 2. 升级到目标版本
helm upgrade kyverno kyverno/kyverno \
  --namespace kyverno \
  --version v3.3.0 \
  --values kyverno-ha-values.yaml \
  --atomic

# 3. 如果升级失败，回滚到上一版本
helm rollback kyverno -n kyverno 1