Kyverno 策略引擎基础：架构、策略定义语言与执行流程

Kyverno 是专为 Kubernetes 设计的云原生策略引擎，以 动态准入控制（Dynamic Admission Control） 为核心机制，在资源创建、更新或删除时拦截请求并执行策略校验。本章从架构组件、策略定义语言（PDL）以及匹配与执行流程三个维度展开，为后续 eBPF 配额校准的通信机制奠定策略层基础。

2.1 Kyverno 架构组件

Kyverno 以 Kubernetes 原生方式部署，由以下核心组件构成，各组件通过标准 Kubernetes API 和 Webhook 机制协作。

2.2 策略定义语言（PDL）

Kyverno 策略定义语言（PDL）基于 YAML 声明式语法，核心结构包含 match、exclude、preconditions 和 validate/mutate/generate 规则块。PDL 支持两种策略作用域：

• ClusterPolicy：集群级别，可匹配所有命名空间中的资源。
• Policy：命名空间级别，仅作用于指定命名空间。

2.2.1 策略规则结构

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-pod-resource-limits
spec:
  validationFailureAction: Enforce   # Enforce | Audit
  rules:
    - name: check-container-resources
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: "容器必须设置 resource limits"
        pattern:
          spec:
            containers:
              - resources:
                  limits:
                    memory: "?*"     # 必须存在且非空
                    cpu: "?*"

2.2.2 策略动作类型对比

2.3 策略匹配与执行流程

Kyverno 的策略匹配与执行遵循严格的时序和优先级规则，确保在 Kubernetes 准入链中正确生效。完整流程分为以下阶段：

1. Webhook 注册与请求拦截：Kyverno Admission Controller 在启动时向 API Server 注册 MutatingWebhookConfiguration 和 ValidatingWebhookConfiguration。当资源请求到达 API Server 时，根据 webhook 规则匹配后转发 AdmissionReview 请求。
2. 策略规则匹配：Admission Controller 根据请求资源的 kind、apiVersion、namespace、labels 等字段，与所有已加载的 ClusterPolicy/Policy 中的 match 块进行匹配。匹配顺序为：先匹配 any 条件，再匹配 all 条件。
3. 排除与前置条件检查：通过匹配的资源进一步检查 exclude 块（排除特定资源）和 preconditions 块（基于上下文变量的条件判断）。只有全部通过才进入执行阶段。
4. 策略动作执行：按 mutate → validate → generate 的顺序执行。Mutate 规则先修改资源，Validate 规则校验修改后的资源，Generate 规则在资源创建完成后异步触发。
5. 响应返回与审计：Admission Controller 将评估结果（允许/拒绝/补丁）封装为 AdmissionReview 响应返回 API Server。同时，Report Controller 异步生成 PolicyReport 记录。

2.4 策略执行上下文与变量

Kyverno PDL 支持丰富的上下文变量，用于在策略规则中引用请求信息、集群状态或外部数据。常用变量分类如下：

2.5 策略冲突与优先级

当多个策略规则作用于同一资源时，Kyverno 遵循以下优先级和冲突解决机制：

• Mutate 规则顺序：按策略创建时间升序执行，后创建的策略补丁叠加在先创建的补丁之上。可通过 spec.rules[].mutate.patches.jsonPatch 的 op: replace 覆盖已有字段。
• Validate 规则冲突：只要任一 Validate 规则拒绝请求，整个准入请求即被拒绝。不存在“覆盖”或“优先级”概念。
• Generate 规则去重：Generate 规则在创建资源前会检查目标资源是否已存在，避免重复创建。
• 策略作用域优先级：命名空间级别的 Policy 优先于集群级别的 ClusterPolicy 匹配同一资源。当两者冲突时，Policy 生效。