策略配置
策略中所有規則的通用配置。
策略包含一個或多個規則,以及適用于策略中所有規則的以下常見設置:
validationFailureAction: 控制驗證策略規則失敗是否應該阻止準入審查請求(
enforce
)或允許(audit
)準入審查請求并在策略報告中報告策略失敗。 默認為audit
。validationFailureActionOverrides: 一個 ClusterPolicy 屬性,指定 validationFailureAction 命名空間方式。 它會覆蓋指定命名空間的 validationFailureAction。
background: 控制是否在后臺掃描期間將規則應用于現有資源。 默認為“true”。
schemaValidation: 控制是否應用策略驗證檢查。 默認為“true”。 Kyverno 將嘗試驗證策略的 schema,如果無法確定它滿足該資源的 OpenAPI schema 定義,則會失敗。可以在驗證或變更策略上發生。 設置為“false”以跳過模式驗證。
failurePolicy: 定義 webhook 無法響應時的 API Server行為。 允許的值為“
Ignore
”或“Fail
”。 默認為“Fail
”。webhookTimeoutSeconds: 指定允許此策略執行的最長時間(以秒為單位)。 默認超時為 10 秒。 該值必須介于 1 到 30 秒之間。
使用 kubectl explain policy.spec
獲取有關策略 schema 的命令行幫助。
選擇資源
使用 match 和 exclude 過濾和選擇資源。
match
和 exclude
控制策略應用于哪些資源。
match
和 exclude
子句具有相同的結構,并且每個子句只能包含以下兩個元素之一:
any
:指定資源過濾器。Kyverno 選擇資源時會在多個資源過濾器直接執行邏輯或操作。all
:指定資源過濾器。Kyverno 選擇資源時會在多個資源過濾器直接執行邏輯與操作。
資源過濾器
可以在 any 或 all 子句下指定以下資源過濾器。
resources
:通過 names、namespaces、kinds、label selectors、annotations 和 namespace selectors 來選擇資源subjects
:選擇用戶、用戶組和 service accountsroles
:選擇 namespace 級的角色clusterRoles
:選擇集群級的角色
注意:直接在 match
和 exclude
下指定資源過濾器已被標記為棄用,并將在未來的版本中刪除。 強烈建議您在 any
或 all
塊下指定它們。
必須在 match.(any/all).resources.kinds
或 exclude
塊中指定至少一個元素。使用 resources
元素時必須指定 kind
屬性。在 match.(any/all).resources.kinds
字段中可以指定通配符(*
)。
此外,用戶可以在策略規則的 match / exclude 聲明中使用 kind 指定 group 和 apiVersion。
支持的格式:
Group/Version/Kind
Version/Kind
Kind
為了解決 kind 命名沖突,需指定 API group 和 version。例如,Kubernetes API、Calico 和 Antrea 都注冊了一個名為 NetworkPolicy 的 Kind。
這些可以區分為:
networking.k8s.io/v1/NetworkPolicy
crd.antrea.io/v1alpha1/NetworkPolicy
通配符支持的格式:
Group/*/Kind
*/Kind
*
注意:
-
match
或exclude
中使用通配符的策略不允許在后臺模式中使用。 - 使用通配符的策略不支持
generate
或verifyImages
規則類型,也不支持forEach
聲明。 - 對于
validate
規則類型,策略只能處理pattern
或anyPattern
塊中的deny
語句和metadata
對象。 - 對于
mutate
規則類型,策略只能處理metadata
對象。
可以使用 /
或 .
作為父資源和子資源之間的分隔符。例如,Pods/status
或 Pods.status
會匹配到子資源。
當 Kyverno 收到 AdmissionReview 請求(即,來自 validation 或 mutation webhook)時,它首先檢查資源和用戶信息是否匹配或是否應從處理中排除。如果兩項檢查都通過,則將規則邏輯應用于變更、驗證或生成資源。
match 聲明
在任意 rule
聲明中,必須有一個 match
語句作為即將應用的規則的過濾器。盡管 match
聲明可能會很復雜,并有多個不同的元素,但至少要有一個。match
聲明中最常見的元素類型是 Kubernetes 類型過濾器,例如 Pods, Deployments, Services, Namespaces 等。match
和 exclude
聲明中還不支持變量替換。match 聲明也需要一個 any
或 all
表達式來實現更靈活的多條件處理。
在這個片段中,match 語句匹配所有名稱為“staging”或在“prod”命名空間中的 Service。
spec:
rules:
- name: no-LoadBalancer
match:
any:
- resources:
kinds:
- Service
names:
- "staging"
- resources:
kinds:
- Service
namespaces:
- "prod"
通過 match
聲明中多個元素組合,您可以更有選擇性地選擇要處理的資源。此外,還支持通配符以實現更好的控制。例如,通過添加 resources.names
字段,前面的 match
聲明可以進一步篩選名稱以“prod-”開頭或名稱是“staging”的Service。resources.names
可接收一組名稱,
將匹配所有具有任何一個這些名稱的資源。
spec:
rules:
- name: no-LoadBalancer
match:
any:
- resources:
names:
- "prod-*"
- "staging"
kinds:
- Service
- resources:
kinds:
- Service
subjects:
- kind: User
name: dave
match.any[0]
會匹配到名稱以“prod-”開頭或是“staging”的、而不是以“dev-”或其它前綴開頭的 Service。match.any[1]
會匹配到所有由用戶 dave 創建的 Service,而不管 Service 名稱。由于這兩個是在 any
關鍵字下指定的,所以,整個規則會作用在所有名稱以“prod-”開頭或是“staging”的或由用戶 dave 創建的 Service。match
或 exclude
聲明中都支持通配符,從而使選擇更加靈活。
注意:Kyverno 也支持 resources.name
,允許你傳入單個名稱,而不是一個列表,但是 resources.name
已被棄用,取而代之的是 resources.names
,并將在未來的版本中刪除。
在這個片段中,match
聲明只會匹配 group 為 networking.k8s.io
,version 是 v1
,kind 是 NetworkPolicy
的資源。通過在 match 聲明中添加 Group、Version、Kind,您可以更有選擇性地選擇要處理的資源。
spec:
rules:
- name: no-LoadBalancer
match:
any:
- resources:
kinds:
- networking.k8s.io/v1/NetworkPolicy
通過在 version/kind
格式中指定 kind
,僅匹配資源種類的特定版本。
spec:
rules:
- name: no-LoadBalancer
match:
any:
- resources:
kinds:
- v1/NetworkPolicy
Kyverno 1.5.0之后,kinds
字段支持通配符,允許您匹配集群中的每種資源類型。選擇器標簽支持以下路徑中的鍵和值的通配符(* 或?)。
- match.resources.selector.matchLabels
- exclude.resources.selector.matchLabels
- match.any.resources.selector.matchLabels
- match.all.resources.selector.matchLabels
- exclude.any.resources.selector.matchLabels
- exclude.all.resources.selector.matchLabels
支持的格式:
*
*pattern*
*pattern
pattern?
patte?rn
在以下策略中,檢查所有資源類型是否存在具有鍵 app.kubernetes.io/name 標簽。
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
name: require-labels
spec:
validationFailureAction: audit
background: false
rules:
- name: check-for-labels
match:
any:
- resources:
kinds:
- "*"
preconditions:
any:
- key: "{{ request.operation }}"
operator: Equals
value: CREATE
validate:
message: "The label `app.kubernetes.io/name` is required."
pattern:
metadata:
labels:
app.kubernetes.io/name: "?*"
注意
請記住,在匹配所有類型 (*) 時,您編寫的策略必須適用于所有類型。這種通配符匹配的典型用途是 metadata 對象中的元素。
下面是 match 聲明的其它一些示例。
匹配有指定標簽的 Deployment 或 StatefulSet
這個示例是選擇有一個有 app=critical 標簽的 Deployment 或 StatefulSet。
resources 塊中的條件檢查邏輯遵循“跨類型取和,列表內取或”。例如,如果規則匹配包含 kind 列表和 namespace 列表,如果請求包含任何一個 (OR) kind AND 任何一個 (OR) namespace,則將評估該規則。clusterRoles、roles 和 subjects 中的條件總數用邏輯 OR 評估,因為每個請求只能有這些值的一個實例。
下面的片段中,kinds 和 selector 是對等/兄弟元素,所以會被 AND 在一起。
spec:
rules:
- name: match-critical-app
match:
any:
# kinds 和 namespaceSelector 是 AND 關系
- resources:
# kinds 列表內是 OR 的關系
kinds:
- Deployment
- StatefulSet
selector:
matchLabels:
app: critical
可以利用此模式對資源的選擇進行非常細粒度的控制,例如,下面的片段中 match 包含了resources、subjects、roles 和 clusterRoles 多種元素。
match 聲明進階
spec:
# validationFailureAction 當策略執行失敗時,控制準入控制器的行為:
# - 'enforce':中斷資源的創建或變更
# - 'audit':允許資源更新并上報策略違規行為
validationFailureAction: enforce
# 每個策略都有一個按聲明順序應用的規則列表
rules:
# Rules 必須有唯一的名稱
- name: "check-pod-controller-labels"
# 每個規則會匹配其 "match" 字段在聲明中指定的資源
match:
resources:
kinds: # 必需,kind 列表
- Deployment
- StatefulSet
# 可選的,資源名稱。 支持通配符 (* 和 ?)
names:
- "mongo*"
- "postgres*"
# 可選的,namespace 列表。支持通配符 (* 和 ?)
namespaces:
- "dev*"
- test
# 可選的,標簽選擇器。值支持通配符(* 和 ?)
selector:
matchLabels:
app: mongodb
matchExpressions:
- {key: tier, operator: In, values: [database]}
# 可選的,要匹配的用戶或 service accounts
subjects:
- kind: User
name: mary@somecorp.com
# 可選的,要匹配的 roles
roles:
# 可選的,要匹配的 clusterroles
clusterRoles:
- cluster-admin
注意
盡管上面的代碼片段對于顯示您可以使用的匹配類型很有用,但大多數策略在其匹配語句中使用一個或幾個不同的元素。
使用標簽匹配命名空間中的 Deployments
這個例子使用 namespaceSelector 匹配 namespace 中包含 type=connector 或 type=compute 標簽的Deployments。
這里, kinds 和 namespaceSelector 是 match.resources 下的對等元素,并使用邏輯 AND 操作進行評估。
spec:
rules:
- name: check-min-replicas
match:
any:
# AND across resources and selector
- resources:
# OR inside list of kinds
kinds:
- Deployment
namespaceSelector:
matchExpressions:
- key: type
operator: In
values:
- connector
- compute
組合 match 和 exclude
策略規則選擇的資源,必須滿足所有 match 和 exclude 條件。換句話說,match 和 exclude 條件是按邏輯 AND 評估的。exclude 塊中的元素遵循與 match 塊中相同的規范。
排除 cluster-admin ClusterRole
這是一個匹配所有非 cluster-admin ClusterRole 創建的 Pod 的規則。
spec:
rules:
- name: match-pods-except-cluster-admin
match:
any:
- resources:
kinds:
- Pod
exclude:
any:
- clusterRoles:
- cluster-admin
排除 kube-system namespace
這個規則會匹配除 kube-system namespace 外的所有 Pod。
注意:從 Kyverno 1.3.0 開始支持按名稱排除指定的 namespace。
spec:
rules:
- name: match-pods-except-admin
match:
any:
- resources:
kinds:
- Pod
exclude:
any:
- resources:
namespaces:
- kube-system
匹配標簽并排除用戶和角色
下面的示例會匹配所有包含 app=critical 標簽、并排除有 ClusterRole cluster-admin 或用戶 John 創建的資源。
注意
由于 roles 和 clusterRoles 是由 Kyverno 從 AdmissionReview 內部構建的,包含這些聲明的規則必須定義 background: false,因為 AdmissionReview 在 background 模式不可用。
spec:
rules:
- name: match-criticals-except-given-rbac
match:
any:
- resources:
kind:
- Pod
selector:
matchLabels:
app: critical
exclude:
any:
- clusterRoles:
- cluster-admin
- subjects:
- kind: User
name: John
匹配標簽并排除用戶
上述示例的變體,此代碼段使用 any 和 all 聲明來排除多個用戶。
spec:
validationFailureAction: enforce
background: false
rules:
- name: match-criticals-except-given-users
match:
all:
- resources:
kinds:
- Pod
selector:
matchLabels:
app: critical
exclude:
any:
- subjects:
- kind: User
name: susan
- kind: User
name: dave
使用 Annotation 匹配所有 Pod
匹配所有包含 imageregistry: "https://hub.docker.com/" 注解的 Pod。
spec:
rules:
- name: match-pod-annotations
match:
any:
- resources:
annotations:
imageregistry: "https://hub.docker.com/"
kinds:
- Pod