3. Kyverno 核心概念：策略（Policy）、规则（Rule）、匹配（Match）、排除（Exclude）、背景（Background）

在开发配置缓存命中巡检策略之前，必须透彻理解 Kyverno 的五大核心概念。这些概念构成了策略引擎的骨架，决定了策略如何被定义、触发、筛选和执行。下面逐一拆解，并辅以结构图与对比表格，帮助你建立清晰的认知模型。

3.1 策略（Policy）与规则（Rule）

策略（Policy） 是 Kyverno 中最高级别的资源对象，它包含一组 规则（Rule）。一个策略可以包含一条或多条规则，每条规则独立定义匹配条件、排除条件和处理动作。策略分为两种类型：

• ClusterPolicy：集群级别，作用于整个集群的所有命名空间。
• Policy：命名空间级别，仅作用于指定命名空间。

规则（Rule） 是策略的执行单元。每条规则必须包含：

• 匹配（Match）：定义哪些资源需要被处理。
• 排除（Exclude）：定义哪些资源需要被跳过（可选）。
• 动作（Validate / Mutate / Generate / VerifyImages）：定义对匹配资源执行的操作。

3.2 匹配（Match）与排除（Exclude）

匹配（Match） 定义了规则生效的目标资源。你可以通过以下维度进行匹配：

• 资源类型：如 Pod、ConfigMap、Secret、Deployment 等。
• 资源名称：支持精确匹配和通配符。
• 标签选择器：基于 Kubernetes 标签进行选择。
• 命名空间选择器：基于命名空间标签进行选择。
• 注解：基于资源注解进行匹配。

排除（Exclude） 用于从匹配结果中移除特定资源。排除条件的语法与匹配完全一致，但语义相反。排除优先级高于匹配——即使资源满足匹配条件，只要它满足任意一条排除条件，规则就不会对其生效。

3.3 背景（Background）

背景（Background） 是 Kyverno 中一个容易被忽视但至关重要的概念。它决定了策略是否对 集群中已有的存量资源 生效，而不仅仅是新创建或更新的资源。

• background: true（默认值）：策略会扫描集群中所有已存在的资源，对满足匹配条件的资源执行规则。
• background: false：策略仅对 新创建 或 更新 的资源生效，忽略存量资源。

在缓存命中巡检场景中，必须将 background 设置为 true，因为我们需要检查集群中所有已存在的 ConfigMap 和 Secret 的缓存状态，而不仅仅是新创建的。

3.4 核心概念关系图

下图展示了策略、规则、匹配、排除和背景之间的层级关系与执行流程：

3.5 缓存命中巡检中的概念映射

将上述核心概念映射到我们的缓存命中巡检场景中，可以更直观地理解每个概念的实际用途：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: cache-hit-inspection

spec:
  rules:
  - name: check-configmap-cache

match:
  resources:
    kinds:
    - ConfigMap
    annotations:
      cache-hash: "*"

exclude:
  resources:
    namespaces:
    - kube-system
    - kube-public

spec:
  background: true

3.6 匹配与排除的优先级逻辑

理解匹配与排除的优先级逻辑对于编写正确的策略至关重要。下图展示了 Kyverno 在评估规则时的决策流程：

3.7 背景模式对巡检策略的影响

背景模式（Background）直接影响巡检策略的覆盖范围。下表对比了两种模式在缓存命中巡检场景中的差异：