回滚护栏自动化：Kyverno规则与流水线集成部署 - 第4节

4.1 策略目标：为什么禁止 :latest 标签？

在 Kubernetes 生产环境中，使用 :latest 标签（或不指定标签，默认即为 :latest）是导致回滚失败和版本混乱的首要原因。镜像标签一旦失去唯一性，就无法将 Pod 实例精确关联到某个构建版本，回滚操作将退化为“碰运气”。

风险场景 后果
Pod 重启后拉取最新 :latest 实际运行的代码版本与预期不符，功能回归或引入新缺陷
回滚时无法指定旧版本 只能回滚到另一个 :latest，无法保证一致性
审计与合规追溯 无法通过镜像标签确认部署的构建 ID 或 Git Commit

本章将编写第一个 Kyverno Validate 策略，在 Admission 阶段拦截所有使用 :latest 标签的 Pod 及工作负载资源，从源头杜绝版本漂移。

4.2 策略结构：Validate 规则的核心要素

一个标准的 Kyverno Validate 策略包含三个顶层字段：apiVersion、kind、metadata 和 spec。其中 spec 内又分为 rules 数组，每个 rule 由 match、validate 和可选的 exclude 组成。

关键字段说明：
  • match：定义策略生效的资源范围（如 kind、labelSelector、namespaceSelector）。
  • validate：定义验证逻辑，使用 pattern 或 anyPattern 描述期望状态。
  • message：当验证失败时，返回给用户的提示信息。
Kyverno Validate 策略结构 ClusterPolicy metadata.name spec.rules[] rule: match + validate match.resources validate.pattern pattern 使用 YAML 锚点语法描述“不允许出现”的条件

4.3 编写第一个策略：disallow-latest-tag

策略将匹配所有 Pod 及包含 Pod 模板的工作负载（Deployment、StatefulSet、DaemonSet、Job、CronJob），检查容器镜像字段是否以 :latest 结尾或未指定标签（默认视为 :latest）。

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: disallow-latest-tag
spec:
  validationFailureAction: Enforce
  rules:
    - name: validate-image-tag
      match:
        any:
          - resources:
              kinds:
                - Pod
                - Deployment
                - StatefulSet
                - DaemonSet
                - Job
                - CronJob
      validate:
        message: "镜像标签不能为 'latest' 或为空。请使用语义化版本标签，例如 'v1.2.3'。"
        pattern:
          spec:
            containers:
              - image: "!*:latest"
模式匹配说明：
!*:latest 表示“不允许任何以 :latest 结尾的镜像”。Kyverno 的 pattern 使用 ! 前缀表示否定匹配，* 为通配符。该模式同样会拦截未显式指定标签的镜像（Kubernetes 默认补全为 :latest）。

4.4 策略部署与验证

4.4.1 应用策略

kubectl apply -f disallow-latest-tag.yaml

4.4.2 测试拦截效果

尝试创建一个使用 :latest 标签的 Pod：

kubectl run nginx-latest --image=nginx:latest

预期输出：

Error from server: admission webhook "validate.kyverno.svc" denied the request:

resource Pod/default/nginx-latest was blocked due to the following policies:

disallow-latest-tag:
  validate-image-tag: '镜像标签不能为 ''latest'' 或为空。请使用语义化版本标签，例如 ''v1.2.3''。'

使用合规标签的 Pod 应正常创建：

kubectl run nginx-stable --image=nginx:1.25.3
pod/nginx-stable created
注意： 如果集群中已有大量使用 :latest 标签的存量工作负载，建议先将 validationFailureAction 设置为 Audit 模式，观察策略报告后再切换为 Enforce，避免大面积阻断。

4.5 策略效果与回滚护栏的关系

该策略是回滚护栏的第一道防线。通过强制要求镜像标签具备版本语义，确保每次部署都能精确对应一个不可变的构建产物。当需要回滚时，只需将镜像标签指回历史版本号即可，无需担心 :latest 的歧义。

禁止 :latest 标签后的回滚链路 CI 构建 生成 v1.2.3 镜像 Kyverno 准入拦截 拒绝 :latest，只放行 v1.2.3 K8s 集群 Pod 使用 v1.2.3 回滚 → 指定 v1.2.2 回滚时只需修改镜像标签为历史版本号，无需重新构建 版本标签保证回滚目标唯一且可审计

4.6 策略优化：处理 Init 容器与 Sidecar

上述策略只检查了 spec.containers，但 Init 容器和 Sidecar 容器同样可能使用 :latest 标签。为了全面防护，需要扩展 pattern 覆盖所有容器类型：

validate:
  message: "所有容器（包括 initContainers）的镜像标签不能为 'latest' 或为空。"
  pattern:
    spec:
      containers:
        - image: "!*:latest"
      initContainers:
        - image: "!*:latest"
扩展建议： 如果使用 Istio 或 Envoy 等 Sidecar 注入机制，注入后的 Pod 可能包含额外的容器。Kyverno 策略在注入前执行，因此只需检查用户定义的容器即可。若需要检查注入后的最终状态，可配合 generate 策略或变异规则。

4.7 本章小结

  • 编写了第一个 Kyverno Validate 策略 disallow-latest-tag，强制禁止 :latest 标签。
  • 理解了 match、validate.pattern、message 的核心用法。
  • 掌握了策略部署、测试拦截效果以及从 Audit 到 Enforce 的灰度切换方法。
  • 明确了该策略在回滚护栏中的基础地位——为后续的版本追溯和自动化回滚提供可靠的标签前提。
← 上一章 📖 返回目录 下一章 →