策略配置

策略中所有規(guī)則的通用配置。

策略包含一個(gè)或多個(gè)規(guī)則，以及適用于策略中所有規(guī)則的以下常見(jiàn)設(shè)置：

• validationFailureAction: 控制驗(yàn)證策略規(guī)則失敗是否應(yīng)該阻止準(zhǔn)入審查請(qǐng)求（enforce）或允許（audit）準(zhǔn)入審查請(qǐng)求并在策略報(bào)告中報(bào)告策略失敗。 默認(rèn)為 audit。

• validationFailureActionOverrides: 一個(gè) ClusterPolicy 屬性，指定 validationFailureAction 命名空間方式。 它會(huì)覆蓋指定命名空間的 validationFailureAction。

• background: 控制是否在后臺(tái)掃描期間將規(guī)則應(yīng)用于現(xiàn)有資源。 默認(rèn)為“true”。

• schemaValidation: 控制是否應(yīng)用策略驗(yàn)證檢查。 默認(rèn)為“true”。 Kyverno 將嘗試驗(yàn)證策略的 schema，如果無(wú)法確定它滿足該資源的 OpenAPI schema 定義，則會(huì)失敗?？梢栽隍?yàn)證或變更策略上發(fā)生。 設(shè)置為“false”以跳過(guò)模式驗(yàn)證。

• failurePolicy: 定義 webhook 無(wú)法響應(yīng)時(shí)的 API Server行為。 允許的值為“Ignore”或“Fail”。 默認(rèn)為“Fail”。

• webhookTimeoutSeconds: 指定允許此策略執(zhí)行的最長(zhǎng)時(shí)間（以秒為單位）。 默認(rèn)超時(shí)為 10 秒。 該值必須介于 1 到 30 秒之間。

使用 kubectl explain policy.spec 獲取有關(guān)策略 schema 的命令行幫助。

選擇資源

使用 match 和 exclude 過(guò)濾和選擇資源。

match 和 exclude 控制策略應(yīng)用于哪些資源。

match 和 exclude 子句具有相同的結(jié)構(gòu)，并且每個(gè)子句只能包含以下兩個(gè)元素之一：

• any：指定資源過(guò)濾器。Kyverno 選擇資源時(shí)會(huì)在多個(gè)資源過(guò)濾器直接執(zhí)行邏輯或操作。

• all：指定資源過(guò)濾器。Kyverno 選擇資源時(shí)會(huì)在多個(gè)資源過(guò)濾器直接執(zhí)行邏輯與操作。

資源過(guò)濾器

可以在 any 或 all 子句下指定以下資源過(guò)濾器。

• resources：通過(guò) names、namespaces、kinds、label selectors、annotations 和 namespace selectors 來(lái)選擇資源

• subjects：選擇用戶、用戶組和 service accounts

• roles：選擇 namespace 級(jí)的角色

• clusterRoles：選擇集群級(jí)的角色

注意：直接在 match 和 exclude 下指定資源過(guò)濾器已被標(biāo)記為棄用，并將在未來(lái)的版本中刪除。 強(qiáng)烈建議您在 any 或 all 塊下指定它們。

必須在 match.(any/all).resources.kinds 或 exclude 塊中指定至少一個(gè)元素。使用 resources 元素時(shí)必須指定 kind 屬性。在 match.(any/all).resources.kinds 字段中可以指定通配符（*）。

此外，用戶可以在策略規(guī)則的 match / exclude 聲明中使用 kind 指定 group 和 apiVersion。

支持的格式：

• Group/Version/Kind
• Version/Kind
• Kind

為了解決 kind 命名沖突，需指定 API group 和 version。例如，Kubernetes API、Calico 和 Antrea 都注冊(cè)了一個(gè)名為 NetworkPolicy 的 Kind。

這些可以區(qū)分為：

• networking.k8s.io/v1/NetworkPolicy
• crd.antrea.io/v1alpha1/NetworkPolicy

通配符支持的格式：

• Group/*/Kind
• */Kind
• *

注意：

• match 或 exclude 中使用通配符的策略不允許在后臺(tái)模式中使用。
• 使用通配符的策略不支持 generate 或 verifyImages 規(guī)則類(lèi)型，也不支持 forEach 聲明。
• 對(duì)于 validate 規(guī)則類(lèi)型，策略只能處理 pattern 或 anyPattern 塊中的 deny 語(yǔ)句和 metadata 對(duì)象。
• 對(duì)于 mutate 規(guī)則類(lèi)型，策略只能處理 metadata 對(duì)象。

可以使用 / 或 . 作為父資源和子資源之間的分隔符。例如，Pods/status 或 Pods.status 會(huì)匹配到子資源。

當(dāng) Kyverno 收到 AdmissionReview 請(qǐng)求（即，來(lái)自 validation 或 mutation webhook）時(shí)，它首先檢查資源和用戶信息是否匹配或是否應(yīng)從處理中排除。如果兩項(xiàng)檢查都通過(guò)，則將規(guī)則邏輯應(yīng)用于變更、驗(yàn)證或生成資源。

match 聲明

在任意 rule 聲明中，必須有一個(gè) match 語(yǔ)句作為即將應(yīng)用的規(guī)則的過(guò)濾器。盡管 match 聲明可能會(huì)很復(fù)雜，并有多個(gè)不同的元素，但至少要有一個(gè)。match 聲明中最常見(jiàn)的元素類(lèi)型是 Kubernetes 類(lèi)型過(guò)濾器，例如 Pods, Deployments, Services, Namespaces 等。match 和 exclude聲明中還不支持變量替換。match 聲明也需要一個(gè) any 或 all 表達(dá)式來(lái)實(shí)現(xiàn)更靈活的多條件處理。

在這個(gè)片段中，match 語(yǔ)句匹配所有名稱為“staging”或在“prod”命名空間中的 Service。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds: 
          - Service
          names: 
          - "staging"
      - resources:
          kinds: 
          - Service
          namespaces:
          - "prod"

通過(guò) match 聲明中多個(gè)元素組合，您可以更有選擇性地選擇要處理的資源。此外，還支持通配符以實(shí)現(xiàn)更好的控制。例如，通過(guò)添加 resources.names 字段，前面的 match 聲明可以進(jìn)一步篩選名稱以“prod-”開(kāi)頭或名稱是“staging”的Service。resources.names 可接收一組名稱，

將匹配所有具有任何一個(gè)這些名稱的資源。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          names: 
          - "prod-*"
          - "staging"
          kinds:
          - Service
      - resources:
          kinds:
          - Service
        subjects:
        - kind: User
          name: dave

match.any[0] 會(huì)匹配到名稱以“prod-”開(kāi)頭或是“staging”的、而不是以“dev-”或其它前綴開(kāi)頭的 Service。match.any[1] 會(huì)匹配到所有由用戶 dave 創(chuàng)建的 Service，而不管 Service 名稱。由于這兩個(gè)是在 any 關(guān)鍵字下指定的，所以，整個(gè)規(guī)則會(huì)作用在所有名稱以“prod-”開(kāi)頭或是“staging”的或由用戶 dave 創(chuàng)建的 Service。match 或 exclude 聲明中都支持通配符，從而使選擇更加靈活。

注意：Kyverno 也支持 resources.name ，允許你傳入單個(gè)名稱，而不是一個(gè)列表，但是 resources.name 已被棄用，取而代之的是 resources.names，并將在未來(lái)的版本中刪除。

在這個(gè)片段中，match 聲明只會(huì)匹配 group 為 networking.k8s.io，version 是 v1，kind 是 NetworkPolicy 的資源。通過(guò)在 match 聲明中添加 Group、Version、Kind，您可以更有選擇性地選擇要處理的資源。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds:
          - networking.k8s.io/v1/NetworkPolicy

通過(guò)在 version/kind 格式中指定 kind，僅匹配資源種類(lèi)的特定版本。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds:
          - v1/NetworkPolicy

Kyverno 1.5.0之后，kinds 字段支持通配符，允許您匹配集群中的每種資源類(lèi)型。選擇器標(biāo)簽支持以下路徑中的鍵和值的通配符（* 或？）。

• match.resources.selector.matchLabels
• exclude.resources.selector.matchLabels
• match.any.resources.selector.matchLabels
• match.all.resources.selector.matchLabels
• exclude.any.resources.selector.matchLabels
• exclude.all.resources.selector.matchLabels

支持的格式：

• *
• *pattern*
• *pattern
• pattern?
• patte?rn

在以下策略中，檢查所有資源類(lèi)型是否存在具有鍵 app.kubernetes.io/name 標(biāo)簽。

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-labels
spec:
  validationFailureAction: audit
  background: false
  rules:
  - name: check-for-labels
    match:
      any:
      - resources:
          kinds:
          - "*"
    preconditions:
      any:
      - key: "{{ request.operation }}"
        operator: Equals
        value: CREATE
    validate:
      message: "The label `app.kubernetes.io/name` is required."
      pattern:
        metadata:
          labels:
            app.kubernetes.io/name: "?*"

注意

請(qǐng)記住，在匹配所有類(lèi)型 (*) 時(shí)，您編寫(xiě)的策略必須適用于所有類(lèi)型。這種通配符匹配的典型用途是 metadata 對(duì)象中的元素。

下面是 match 聲明的其它一些示例。

匹配有指定標(biāo)簽的 Deployment 或 StatefulSet

這個(gè)示例是選擇有一個(gè)有 app=critical 標(biāo)簽的 Deployment 或 StatefulSet。

resources 塊中的條件檢查邏輯遵循“跨類(lèi)型取和，列表內(nèi)取或”。例如，如果規(guī)則匹配包含 kind 列表和 namespace 列表，如果請(qǐng)求包含任何一個(gè) (OR) kind AND 任何一個(gè) (OR) namespace，則將評(píng)估該規(guī)則。clusterRoles、roles 和 subjects 中的條件總數(shù)用邏輯 OR 評(píng)估，因?yàn)槊總€(gè)請(qǐng)求只能有這些值的一個(gè)實(shí)例。

下面的片段中，kinds 和 selector 是對(duì)等/兄弟元素，所以會(huì)被 AND 在一起。

spec:
  rules:
    - name: match-critical-app
      match:
        any:
        # kinds 和 namespaceSelector 是 AND 關(guān)系
        - resources:
            # kinds 列表內(nèi)是 OR 的關(guān)系
            kinds:
            - Deployment
            - StatefulSet
            selector:
              matchLabels:
                app: critical

可以利用此模式對(duì)資源的選擇進(jìn)行非常細(xì)粒度的控制，例如，下面的片段中 match 包含了resources、subjects、roles 和 clusterRoles 多種元素。

match 聲明進(jìn)階

spec:
  # validationFailureAction 當(dāng)策略執(zhí)行失敗時(shí)，控制準(zhǔn)入控制器的行為：
  # - 'enforce'：中斷資源的創(chuàng)建或變更
  # - 'audit'：允許資源更新并上報(bào)策略違規(guī)行為
  validationFailureAction: enforce
  # 每個(gè)策略都有一個(gè)按聲明順序應(yīng)用的規(guī)則列表
  rules:
    # Rules 必須有唯一的名稱
    - name: "check-pod-controller-labels"
      # 每個(gè)規(guī)則會(huì)匹配其 "match" 字段在聲明中指定的資源
      match:
        resources:
          kinds: # 必需，kind 列表
          - Deployment
          - StatefulSet
          # 可選的，資源名稱。 支持通配符 (* 和 ?)
          names: 
          - "mongo*"
          - "postgres*"
          # 可選的，namespace 列表。支持通配符 (* 和 ?)
          namespaces:
          - "dev*"
          - test
          # 可選的，標(biāo)簽選擇器。值支持通配符(* 和 ?)
          selector:
              matchLabels:
                  app: mongodb
              matchExpressions:
                  - {key: tier, operator: In, values: [database]}
        # 可選的，要匹配的用戶或 service accounts
        subjects:
        - kind: User
          name: mary@somecorp.com
        # 可選的，要匹配的 roles
        roles:
        # 可選的，要匹配的 clusterroles
        clusterRoles: 
        - cluster-admin

注意

盡管上面的代碼片段對(duì)于顯示您可以使用的匹配類(lèi)型很有用，但大多數(shù)策略在其匹配語(yǔ)句中使用一個(gè)或幾個(gè)不同的元素。

使用標(biāo)簽匹配命名空間中的 Deployments

這個(gè)例子使用 namespaceSelector 匹配 namespace 中包含 type=connector 或 type=compute 標(biāo)簽的Deployments。

這里， kinds 和 namespaceSelector 是 match.resources 下的對(duì)等元素，并使用邏輯 AND 操作進(jìn)行評(píng)估。

spec:
  rules:
    - name: check-min-replicas
      match:
        any:
        # AND across resources and selector
        - resources:
            # OR inside list of kinds
            kinds:
            - Deployment
            namespaceSelector:
              matchExpressions:
                - key: type 
                  operator: In
                  values: 
                  - connector
                  - compute

組合 match 和 exclude

策略規(guī)則選擇的資源，必須滿足所有 match 和 exclude 條件。換句話說(shuō)，match 和 exclude 條件是按邏輯 AND 評(píng)估的。exclude 塊中的元素遵循與 match 塊中相同的規(guī)范。

排除 cluster-admin ClusterRole

這是一個(gè)匹配所有非 cluster-admin ClusterRole 創(chuàng)建的 Pod 的規(guī)則。

spec:
  rules:
    - name: match-pods-except-cluster-admin
      match:
        any:
        - resources:
            kinds:
            - Pod
      exclude:
        any:
        - clusterRoles:
          - cluster-admin

排除 kube-system namespace

這個(gè)規(guī)則會(huì)匹配除 kube-system namespace 外的所有 Pod。

注意：從 Kyverno 1.3.0 開(kāi)始支持按名稱排除指定的 namespace。

spec:
  rules:
    - name: match-pods-except-admin
      match:
        any:
        - resources:
            kinds:
            - Pod
      exclude:
        any:
        - resources:
            namespaces:
            - kube-system

匹配標(biāo)簽并排除用戶和角色

下面的示例會(huì)匹配所有包含 app=critical 標(biāo)簽、并排除有 ClusterRole cluster-admin 或用戶 John 創(chuàng)建的資源。

注意

由于 roles 和 clusterRoles 是由 Kyverno 從 AdmissionReview 內(nèi)部構(gòu)建的，包含這些聲明的規(guī)則必須定義 background: false，因?yàn)?AdmissionReview 在 background 模式不可用。

spec:
  rules:
    - name: match-criticals-except-given-rbac
      match:
        any:
        - resources:
            kind:
            - Pod
            selector:
              matchLabels:
                app: critical
      exclude:
        any:
        - clusterRoles:
          - cluster-admin
        - subjects:
          - kind: User
            name: John

匹配標(biāo)簽并排除用戶

上述示例的變體，此代碼段使用 any 和 all 聲明來(lái)排除多個(gè)用戶。

spec:
  validationFailureAction: enforce
  background: false
  rules:
    - name: match-criticals-except-given-users
      match:
        all:
        - resources:
            kinds:
            - Pod
            selector:
              matchLabels:
                app: critical
      exclude:
        any:
        - subjects:
          - kind: User
            name: susan
          - kind: User
            name: dave

使用 Annotation 匹配所有 Pod

匹配所有包含 imageregistry: "https://hub.docker.com/" 注解的 Pod。

spec:
  rules:
    - name: match-pod-annotations
      match:
        any:
        - resources:
            annotations:
              imageregistry: "https://hub.docker.com/"
            kinds:
              - Pod