特级毛片爽WWW免费版,国产精品久久久久无码人妻,母亲免费全集在线观看

策略配置

策略中所有規則的通用配置。

策略包含一個或多個規則，以及適用于策略中所有規則的以下常見設置：

validationFailureAction: 控制驗證策略規則失敗是否應該阻止準入審查請求（enforce）或允許（audit）準入審查請求并在策略報告中報告策略失敗。默認為 audit。
validationFailureActionOverrides: 一個 ClusterPolicy 屬性，指定 validationFailureAction 命名空間方式。它會覆蓋指定命名空間的 validationFailureAction。
background: 控制是否在后臺掃描期間將規則應用于現有資源。默認為“true”。
schemaValidation: 控制是否應用策略驗證檢查。默認為“true”。 Kyverno 將嘗試驗證策略的 schema，如果無法確定它滿足該資源的 OpenAPI schema 定義，則會失敗。可以在驗證或變更策略上發生。設置為“false”以跳過模式驗證。
failurePolicy: 定義 webhook 無法響應時的 API Server行為。允許的值為“Ignore”或“Fail”。默認為“Fail”。
webhookTimeoutSeconds: 指定允許此策略執行的最長時間（以秒為單位）。默認超時為 10 秒。該值必須介于 1 到 30 秒之間。

使用 kubectl explain policy.spec 獲取有關策略 schema 的命令行幫助。

選擇資源

使用 match 和 exclude 過濾和選擇資源。

match 和 exclude 控制策略應用于哪些資源。

match 和 exclude 子句具有相同的結構，并且每個子句只能包含以下兩個元素之一：

any：指定資源過濾器。Kyverno 選擇資源時會在多個資源過濾器直接執行邏輯或操作。
all：指定資源過濾器。Kyverno 選擇資源時會在多個資源過濾器直接執行邏輯與操作。

資源過濾器

可以在 any 或 all 子句下指定以下資源過濾器。

resources：通過 names、namespaces、kinds、label selectors、annotations 和 namespace selectors 來選擇資源
subjects：選擇用戶、用戶組和 service accounts
roles：選擇 namespace 級的角色
clusterRoles：選擇集群級的角色

注意：直接在 match 和 exclude 下指定資源過濾器已被標記為棄用，并將在未來的版本中刪除。強烈建議您在 any 或 all 塊下指定它們。

必須在 match.(any/all).resources.kinds 或 exclude 塊中指定至少一個元素。使用 resources 元素時必須指定 kind 屬性。在 match.(any/all).resources.kinds 字段中可以指定通配符（*）。

此外，用戶可以在策略規則的 match / exclude 聲明中使用 kind 指定 group 和 apiVersion。

支持的格式：

Group/Version/Kind
Version/Kind
Kind

為了解決 kind 命名沖突，需指定 API group 和 version。例如，Kubernetes API、Calico 和 Antrea 都注冊了一個名為 NetworkPolicy 的 Kind。

這些可以區分為：

networking.k8s.io/v1/NetworkPolicy
crd.antrea.io/v1alpha1/NetworkPolicy

通配符支持的格式：

Group/*/Kind
*/Kind
*

注意：

match 或 exclude 中使用通配符的策略不允許在后臺模式中使用。
使用通配符的策略不支持 generate 或 verifyImages 規則類型，也不支持 forEach 聲明。
對于 validate 規則類型，策略只能處理 pattern 或 anyPattern 塊中的 deny 語句和 metadata 對象。
對于 mutate 規則類型，策略只能處理 metadata 對象。

可以使用 / 或 . 作為父資源和子資源之間的分隔符。例如，Pods/status 或 Pods.status 會匹配到子資源。

當 Kyverno 收到 AdmissionReview 請求（即，來自 validation 或 mutation webhook）時，它首先檢查資源和用戶信息是否匹配或是否應從處理中排除。如果兩項檢查都通過，則將規則邏輯應用于變更、驗證或生成資源。

match 聲明

在任意 rule 聲明中，必須有一個 match 語句作為即將應用的規則的過濾器。盡管 match 聲明可能會很復雜，并有多個不同的元素，但至少要有一個。match 聲明中最常見的元素類型是 Kubernetes 類型過濾器，例如 Pods, Deployments, Services, Namespaces 等。match 和 exclude聲明中還不支持變量替換。match 聲明也需要一個 any 或 all 表達式來實現更靈活的多條件處理。

在這個片段中，match 語句匹配所有名稱為“staging”或在“prod”命名空間中的 Service。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds: 
          - Service
          names: 
          - "staging"
      - resources:
          kinds: 
          - Service
          namespaces:
          - "prod"

通過 match 聲明中多個元素組合，您可以更有選擇性地選擇要處理的資源。此外，還支持通配符以實現更好的控制。例如，通過添加 resources.names 字段，前面的 match 聲明可以進一步篩選名稱以“prod-”開頭或名稱是“staging”的Service。resources.names 可接收一組名稱，

將匹配所有具有任何一個這些名稱的資源。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          names: 
          - "prod-*"
          - "staging"
          kinds:
          - Service
      - resources:
          kinds:
          - Service
        subjects:
        - kind: User
          name: dave

match.any[0] 會匹配到名稱以“prod-”開頭或是“staging”的、而不是以“dev-”或其它前綴開頭的 Service。match.any[1] 會匹配到所有由用戶 dave 創建的 Service，而不管 Service 名稱。由于這兩個是在 any 關鍵字下指定的，所以，整個規則會作用在所有名稱以“prod-”開頭或是“staging”的或由用戶 dave 創建的 Service。match 或 exclude 聲明中都支持通配符，從而使選擇更加靈活。

注意：Kyverno 也支持 resources.name ，允許你傳入單個名稱，而不是一個列表，但是 resources.name 已被棄用，取而代之的是 resources.names，并將在未來的版本中刪除。

在這個片段中，match 聲明只會匹配 group 為 networking.k8s.io，version 是 v1，kind 是 NetworkPolicy 的資源。通過在 match 聲明中添加 Group、Version、Kind，您可以更有選擇性地選擇要處理的資源。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds:
          - networking.k8s.io/v1/NetworkPolicy

通過在 version/kind 格式中指定 kind，僅匹配資源種類的特定版本。

spec:
  rules:
  - name: no-LoadBalancer
    match:
      any:
      - resources:
          kinds:
          - v1/NetworkPolicy

Kyverno 1.5.0之后，kinds 字段支持通配符，允許您匹配集群中的每種資源類型。選擇器標簽支持以下路徑中的鍵和值的通配符（* 或？）。

match.resources.selector.matchLabels
exclude.resources.selector.matchLabels
match.any.resources.selector.matchLabels
match.all.resources.selector.matchLabels
exclude.any.resources.selector.matchLabels
exclude.all.resources.selector.matchLabels

支持的格式：

*
*pattern*
*pattern
pattern?
patte?rn

在以下策略中，檢查所有資源類型是否存在具有鍵 app.kubernetes.io/name 標簽。

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-labels
spec:
  validationFailureAction: audit
  background: false
  rules:
  - name: check-for-labels
    match:
      any:
      - resources:
          kinds:
          - "*"
    preconditions:
      any:
      - key: "{{ request.operation }}"
        operator: Equals
        value: CREATE
    validate:
      message: "The label `app.kubernetes.io/name` is required."
      pattern:
        metadata:
          labels:
            app.kubernetes.io/name: "?*"

注意

請記住，在匹配所有類型 (*) 時，您編寫的策略必須適用于所有類型。這種通配符匹配的典型用途是 metadata 對象中的元素。

下面是 match 聲明的其它一些示例。

匹配有指定標簽的 Deployment 或 StatefulSet

這個示例是選擇有一個有 app=critical 標簽的 Deployment 或 StatefulSet。

resources 塊中的條件檢查邏輯遵循“跨類型取和，列表內取或”。例如，如果規則匹配包含 kind 列表和 namespace 列表，如果請求包含任何一個 (OR) kind AND 任何一個 (OR) namespace，則將評估該規則。clusterRoles、roles 和 subjects 中的條件總數用邏輯 OR 評估，因為每個請求只能有這些值的一個實例。

下面的片段中，kinds 和 selector 是對等/兄弟元素，所以會被 AND 在一起。

spec:
  rules:
    - name: match-critical-app
      match:
        any:
        # kinds 和 namespaceSelector 是 AND 關系
        - resources:
            # kinds 列表內是 OR 的關系
            kinds:
            - Deployment
            - StatefulSet
            selector:
              matchLabels:
                app: critical

可以利用此模式對資源的選擇進行非常細粒度的控制，例如，下面的片段中 match 包含了resources、subjects、roles 和 clusterRoles 多種元素。

match 聲明進階

spec:
  # validationFailureAction 當策略執行失敗時，控制準入控制器的行為：
  # - 'enforce'：中斷資源的創建或變更
  # - 'audit'：允許資源更新并上報策略違規行為
  validationFailureAction: enforce
  # 每個策略都有一個按聲明順序應用的規則列表
  rules:
    # Rules 必須有唯一的名稱
    - name: "check-pod-controller-labels"
      # 每個規則會匹配其 "match" 字段在聲明中指定的資源
      match:
        resources:
          kinds: # 必需，kind 列表
          - Deployment
          - StatefulSet
          # 可選的，資源名稱。 支持通配符 (* 和 ?)
          names: 
          - "mongo*"
          - "postgres*"
          # 可選的，namespace 列表。支持通配符 (* 和 ?)
          namespaces:
          - "dev*"
          - test
          # 可選的，標簽選擇器。值支持通配符(* 和 ?)
          selector:
              matchLabels:
                  app: mongodb
              matchExpressions:
                  - {key: tier, operator: In, values: [database]}
        # 可選的，要匹配的用戶或 service accounts
        subjects:
        - kind: User
          name: mary@somecorp.com
        # 可選的，要匹配的 roles
        roles:
        # 可選的，要匹配的 clusterroles
        clusterRoles: 
        - cluster-admin

注意

盡管上面的代碼片段對于顯示您可以使用的匹配類型很有用，但大多數策略在其匹配語句中使用一個或幾個不同的元素。

使用標簽匹配命名空間中的 Deployments

這個例子使用 namespaceSelector 匹配 namespace 中包含 type=connector 或 type=compute 標簽的Deployments。

這里， kinds 和 namespaceSelector 是 match.resources 下的對等元素，并使用邏輯 AND 操作進行評估。

spec:
  rules:
    - name: check-min-replicas
      match:
        any:
        # AND across resources and selector
        - resources:
            # OR inside list of kinds
            kinds:
            - Deployment
            namespaceSelector:
              matchExpressions:
                - key: type 
                  operator: In
                  values: 
                  - connector
                  - compute

組合 match 和 exclude

策略規則選擇的資源，必須滿足所有 match 和 exclude 條件。換句話說，match 和 exclude 條件是按邏輯 AND 評估的。exclude 塊中的元素遵循與 match 塊中相同的規范。

排除 cluster-admin ClusterRole

這是一個匹配所有非 cluster-admin ClusterRole 創建的 Pod 的規則。

spec:
  rules:
    - name: match-pods-except-cluster-admin
      match:
        any:
        - resources:
            kinds:
            - Pod
      exclude:
        any:
        - clusterRoles:
          - cluster-admin

排除 kube-system namespace

這個規則會匹配除 kube-system namespace 外的所有 Pod。

注意：從 Kyverno 1.3.0 開始支持按名稱排除指定的 namespace。

spec:
  rules:
    - name: match-pods-except-admin
      match:
        any:
        - resources:
            kinds:
            - Pod
      exclude:
        any:
        - resources:
            namespaces:
            - kube-system

匹配標簽并排除用戶和角色

下面的示例會匹配所有包含 app=critical 標簽、并排除有 ClusterRole cluster-admin 或用戶 John 創建的資源。

注意

由于 roles 和 clusterRoles 是由 Kyverno 從 AdmissionReview 內部構建的，包含這些聲明的規則必須定義 background: false，因為 AdmissionReview 在 background 模式不可用。

spec:
  rules:
    - name: match-criticals-except-given-rbac
      match:
        any:
        - resources:
            kind:
            - Pod
            selector:
              matchLabels:
                app: critical
      exclude:
        any:
        - clusterRoles:
          - cluster-admin
        - subjects:
          - kind: User
            name: John

匹配標簽并排除用戶

上述示例的變體，此代碼段使用 any 和 all 聲明來排除多個用戶。

spec:
  validationFailureAction: enforce
  background: false
  rules:
    - name: match-criticals-except-given-users
      match:
        all:
        - resources:
            kinds:
            - Pod
            selector:
              matchLabels:
                app: critical
      exclude:
        any:
        - subjects:
          - kind: User
            name: susan
          - kind: User
            name: dave

使用 Annotation 匹配所有 Pod

匹配所有包含 imageregistry: "https://hub.docker.com/" 注解的 Pod。

spec:
  rules:
    - name: match-pod-annotations
      match:
        any:
        - resources:
            annotations:
              imageregistry: "https://hub.docker.com/"
            kinds:
              - Pod

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频

Kyverno選擇資源

Kyverno選擇資源

策略配置

選擇資源

資源過濾器

match 聲明

匹配有指定標簽的 Deployment 或 StatefulSet

match 聲明進階

使用標簽匹配命名空間中的 Deployments

組合 match 和 exclude

排除 cluster-admin ClusterRole

排除 kube-system namespace

匹配標簽并排除用戶和角色

匹配標簽并排除用戶

使用 Annotation 匹配所有 Pod

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美 国产 综合 欧美 视频

Kyverno選擇資源

策略配置

選擇資源

資源過濾器

match 聲明

匹配有指定標簽的 Deployment 或 StatefulSet

match 聲明進階

使用標簽匹配命名空間中的 Deployments

組合 match 和 exclude

排除 cluster-admin ClusterRole

排除 kube-system namespace

匹配標簽并排除用戶和角色

匹配標簽并排除用戶

使用 Annotation 匹配所有 Pod

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频