3、安装与配置：使用Helm安装Kyverno、配置高可用、TLS证书管理、日志与监控集成

本章聚焦于在生产环境中部署Kyverno策略引擎。我们将使用Helm作为包管理工具，完成从基础安装到高可用配置、TLS证书管理以及日志与监控集成的全流程。正确的安装与配置是策略即代码（Policy-as-Code）落地的基石，直接影响策略执行引擎的稳定性与安全性。

3.1 使用Helm安装Kyverno

Helm是Kubernetes生态中最流行的包管理工具，Kyverno官方维护的Helm Chart提供了灵活的配置选项，支持从开发环境到生产集群的平滑部署。

3.1.1 前置条件

• Kubernetes集群：版本 ≥ 1.23，建议使用1.27及以上版本以获得最佳兼容性。
• Helm CLI：版本 ≥ 3.8.0。
• 集群管理员权限：Kyverno需要创建ClusterRole、ClusterRoleBinding、ValidatingWebhookConfiguration等集群级资源。
• 存储类（StorageClass）：如果启用高可用模式，需要默认StorageClass支持动态PV供应。

3.1.2 添加Helm仓库与安装

# 添加Kyverno官方Helm仓库
helm repo add kyverno https://kyverno.github.io/kyverno/
helm repo update

# 创建命名空间
kubectl create namespace kyverno

# 使用Helm安装Kyverno（基础单副本模式）
helm install kyverno kyverno/kyverno \
  --namespace kyverno \
  --version v3.2.0 \
  --set replicaCount=1 \
  --set serviceMonitor.enabled=false

3.1.3 验证安装

# 检查Pod状态
kubectl get pods -n kyverno -l app.kubernetes.io/name=kyverno

# 检查Webhook配置是否就绪
kubectl get validatingwebhookconfigurations -l webhook.kyverno.io/managed-by=kyverno

# 查看Kyverno版本与健康状态
kubectl -n kyverno logs deployment/kyverno -c kyverno | grep "Starting Kyverno"

3.2 配置高可用（HA）模式

在生产环境中，单副本的Kyverno存在单点故障风险。高可用模式通过多副本部署、Leader选举和共享存储实现策略执行的连续性。

3.2.1 HA架构核心组件

# 高可用模式安装示例
helm upgrade --install kyverno kyverno/kyverno \
  --namespace kyverno \
  --set replicaCount=3 \
  --set leaderElection.enabled=true \
  --set leaderElection.renewDeadline=15s \
  --set leaderElection.retryPeriod=5s \
  --set persistence.enabled=true \
  --set persistence.size=10Gi \
  --set affinity.podAntiAffinity.requiredDuringSchedulingIgnoredDuringExecution[0].topologyKey=kubernetes.io/hostname

3.2.2 HA架构流程图

3.3 TLS证书管理

Kyverno作为动态准入控制（Admission Controller），其Webhook必须通过TLS与API Server进行安全通信。默认安装会自动生成自签名证书，但生产环境建议使用受信任的CA签发证书或集成cert-manager进行自动化管理。

3.3.1 证书管理方式对比

3.3.2 使用cert-manager自动化TLS

# 1. 安装 cert-manager（如果未安装）
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.15.0/cert-manager.yaml

# 2. 创建自签名 ClusterIssuer
cat <<EOF | kubectl apply -f -
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: kyverno-selfsigned-issuer
spec:
  selfSigned: {}
EOF

# 3. 使用Helm安装Kyverno并配置cert-manager集成
helm upgrade --install kyverno kyverno/kyverno \
  --namespace kyverno \
  --set replicaCount=3 \
  --set webhookCert.certManager.enabled=true \
  --set webhookCert.certManager.issuerName=kyverno-selfsigned-issuer \
  --set webhookCert.certManager.issuerKind=ClusterIssuer \
  --set webhookCert.certManager.issuerGroup=cert-manager.io

3.4 日志与监控集成

策略引擎的可观测性是运维的核心。Kyverno原生支持结构化日志输出，并提供了Prometheus指标接口，可以无缝集成到现有的监控体系中。

3.4.1 日志配置

Kyverno使用 zap 日志库，支持多种日志级别和输出格式。推荐在生产环境中使用JSON格式输出，便于日志收集系统（如Elasticsearch、Loki）解析。

# 配置结构化JSON日志与级别
helm upgrade --install kyverno kyverno/kyverno \
  --namespace kyverno \
  --set logLevel=4 \
  --set logFormat=json \
  --set logOutput=stdout

3.4.2 Prometheus监控集成

Kyverno暴露了标准的Prometheus指标端点（默认端口8000），可以采集策略执行次数、Webhook延迟、策略变更事件等关键指标。

# 启用ServiceMonitor（需要已安装Prometheus Operator）
helm upgrade --install kyverno kyverno/kyverno \
  --namespace kyverno \
  --set serviceMonitor.enabled=true \
  --set serviceMonitor.namespace=monitoring \
  --set serviceMonitor.interval=30s \
  --set metrics.enabled=true \
  --set metrics.port=8000

3.4.3 关键监控指标

3.4.4 监控架构图

3.5 配置验证与健康检查

完成安装与配置后，建议执行以下验证步骤，确保所有组件正常运行：

1. Pod健康检查：确认所有Kyverno Pod处于 Running 状态，且 READY 列为 1/1。
2. Webhook可达性测试：创建一个测试Namespace并添加标签，观察Kyverno是否能够正确响应Admission Review请求。
3. 证书有效性检查：使用 openssl s_client 或 curl 验证Webhook端点的TLS证书是否由预期CA签发。
4. 指标端点测试：通过 kubectl port-forward 暴露Metrics端口，访问 /metrics 端点确认指标数据正常输出。
5. 日志采样：查看最近100条日志，确认无 ERROR 级别异常，且JSON格式正确可解析。

# 快速健康检查命令集
echo "=== Pod状态 ==="
kubectl get pods -n kyverno -o wide

echo "=== Webhook配置 ==="
kubectl get validatingwebhookconfigurations -l webhook.kyverno.io/managed-by=kyverno -o yaml | grep -A5 "clientConfig"

echo "=== 指标端点测试 ==="
kubectl -n kyverno port-forward svc/kyverno-svc-metrics 8000:8000 &
curl -s http://localhost:8000/metrics | head -20
kill %1