Kyverno集群升级配额校验与策略故障修复 - 第1节

1.1 Kyverno 是什么

Kyverno 是一个为 Kubernetes 设计的云原生策略引擎，由 Nirmata 开源，后捐献给 CNCF 成为孵化项目。它允许集群管理员以 Kubernetes 资源（Policy 和 ClusterPolicy）的形式声明策略，无需编写 Webhook 或 Admission Controller 代码。

1.1.1 策略类型

1.1.2 Kyverno 架构概览

1.2 Kyverno 与 OPA/Gatekeeper 的区别

OPA/Gatekeeper 和 Kyverno 都是 Kubernetes 策略引擎，但设计哲学和实现方式有显著差异。下表从多个维度进行对比：

1.3 Kyverno 的安装与部署

1.3.1 环境要求

• Kubernetes 集群版本 ≥ 1.23（推荐 1.27+）
• 集群已启用 MutatingAdmissionWebhook 和 ValidatingAdmissionWebhook 准入控制器
• 具备 cluster-admin 权限或至少能创建 CRD、Webhook 配置
• Helm 3.8+（推荐使用 Helm 安装）

1.3.2 使用 Helm 安装（推荐）

# 添加 Kyverno Helm 仓库
helm repo add kyverno https://kyverno.github.io/kyverno/
helm repo update

# 创建命名空间
kubectl create namespace kyverno

# 安装 Kyverno（v1.12+ 推荐使用 charts/kyverno）
helm install kyverno kyverno/kyverno \
  --namespace kyverno \
  --create-namespace \
  --set admissionController.replicas=2 \
  --set backgroundController.replicas=1 \
  --set cleanupController.replicas=1 \
  --set reportsController.replicas=1

1.3.3 验证安装

# 检查 Pod 状态
kubectl get pods -n kyverno

# 预期输出（4 个控制器 Pod 均 Running）
NAME                                           READY   STATUS    RESTARTS   AGE
kyverno-admission-controller-6f8d9c7b9c-abc12   1/1     Running   0          2m
kyverno-background-controller-5d4f6b7c8d-def34  1/1     Running   0          2m
kyverno-cleanup-controller-7e5f8a9b0c-ghi56     1/1     Running   0          2m
kyverno-reports-controller-4c3d2e1f0a-jkl78     1/1     Running   0          2m

# 检查 Webhook 配置
kubectl get mutatingwebhookconfigurations
kubectl get validatingwebhookconfigurations

# 检查 CRD 是否就绪
kubectl get crd | grep kyverno

1.3.4 部署第一个策略：强制 Pod 设置资源限制

cat <<EOF | kubectl apply -f -
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-pod-resources
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-resources
    match:
      any:
      - resources:
          kinds:
          - Pod
    validate:
      message: "所有容器必须设置 resources.limits 和 resources.requests"
      pattern:
        spec:
          containers:
          - resources:
              limits:
                memory: "?*"
                cpu: "?*"
              requests:
                memory: "?*"
                cpu: "?*"
EOF

1.3.5 测试策略效果

# 尝试创建没有资源限制的 Pod（应被拒绝）
kubectl run test-pod --image=nginx

# 预期输出
Error from server: admission webhook "validate.kyverno.svc" denied the request:
resource Pod/default/test-pod was blocked due to the following policies:
require-pod-resources:
  check-resources: '所有容器必须设置 resources.limits 和 resources.requests'

# 创建合规 Pod（应成功）
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  name: compliant-pod
spec:
  containers:
  - name: nginx
    image: nginx
    resources:
      limits:
        memory: "256Mi"
        cpu: "500m"
      requests:
        memory: "128Mi"
        cpu: "250m"
EOF

1.3.6 安装后关键检查清单