Kyverno 策略引擎深度解析與應用

– 7 分鐘閱讀

Kyverno 作為 Kubernetes 原生的策略引擎，提供豐富的功能來管理和控制叢集資源。其核心功能在於利用 JMESPath 進行資源查詢和 YAML 錨點簡化策略定義，並支援多種策略型別，例如變更、驗證和生成，滿足不同的應用場景。策略的組成包含後設資料、規則和操作，可以根據需求設定作用範圍，例如叢集範圍或名稱空間範圍。理解 Kyverno 的運作機制，能更有效地運用其功能，提升 Kubernetes 叢集的安全性與合規性。

Kyverno 政策的高階功能與組成

Kyverno 作為一個 Kubernetes 的策略引擎，其強大的功能來自於對 Kubernetes 資源的精細控制和策略執行。在前面的章節中，我們瞭解了 Kyverno 的基本概念和安裝組態，本章節將探討 Kyverno 的高階功能，包括 JMESPath 的使用、YAML 錨點的應用，以及 Kyverno 政策的組成和執行原理。

JMESPath 在 Kyverno 中的應用

JMESPath 是一種強大的查詢語言，用於在 JSON 或 YAML 檔案中查詢和提取資料。在 Kyverno 中，JMESPath 被廣泛應用於匹配和查詢 Kubernetes 資源。以下是一個使用 JMESPath 匹配 Kubernetes API AdmissionReview 物件的例子：

deny: {}

這個 JMESPath 表示式用於匹配 Kubernetes 資源的 apiVersion。

內容解密：

  1. JMESPath 的作用：在 Kyverno 中，JMESPath 用於從 AdmissionReview 物件中提取資訊，並根據這些資訊來決定是否執行某個策略。
  2. 匹配 AdmissionReview 物件：Kyverno 使用 JMESPath 來檢查請求的操作和請求物件的 API 版本，如果滿足條件，則進一步處理。
  3. 建構傳回訊息：當條件匹配時，Kyverno 使用 JMESPath 建構傳回給 API 伺服器客戶端的訊息。

YAML 錨點在 Kyverno 中的應用

YAML 錨點是一種用於在 YAML 檔案中重用資料的機制。Kyverno 利用 YAML 錨點來簡化策略的定義和提高可讀性。以下是一個使用 YAML 錨點的例子：

spec:
  containers:
    - name: test-pod
      imagePullPolicy: &imagePullPolicy Always
    - name: test-pod2
      imagePullPolicy: *imagePullPolicy

內容解密：

  1. YAML 錨點的作用：透過使用 & 符號定義錨點和使用 * 符號參照錨點，可以避免在 YAML 檔案中重複相同的資料。
  2. 提高可讀性和可維護性：使用 YAML 錨點可以使 Kyverno 策略的定義更加簡潔和易於理解。

自定義 YAML 錨點在 Kyverno 中的條件處理

Kyverno 還支援自定義 YAML 錨點，用於實作條件邏輯。以下是一個例子，用於防止 Windows 容器使用 hostProcess 欄位：

pattern:
  spec:
    =(ephemeralContainers):
      - =(securityContext):
          =(windowsOptions):
            =(hostProcess): "false"
    =(initContainers):
      - =(securityContext):
          =(windowsOptions):
            =(hostProcess): "false"
    containers:
      - =(securityContext):
          =(windowsOptions):
            =(hostProcess): "false"

內容解密：

  1. 條件邏輯的實作：透過使用自定義 YAML 錨點，Kyverno 可以實作複雜的條件邏輯，確保只有當特定欄位存在時才進行進一步的檢查。
  2. 防止 Windows 容器提升許可權：這個例子中的策略確保瞭如果 Windows 容器的 securityContext 中定義了 windowsOptions，則 hostProcess 欄位必須設定為 false，從而防止容器獲得主機許可權。

Kyverno 策略的組成

Kyverno 的策略由規則（rules）、模式（patterns）和動作（actions）組成。規則包含模式和動作，用於定義策略如何匹配 Kubernetes 資源以及當匹配時執行什麼動作。以下是一個驗證策略規範的例子：

spec:
  background: true
  failurePolicy: Fail
  rules:
    - match:
        any:
          - resources:
              kinds:
                - Pod
      name: check-seccomp
      validate:
        message: |
          Use of custom Seccomp profiles is disallowed. The fields
          spec.securityContext.seccompProfile.type,
          spec.containers[*].securityContext.seccompProfile.type,
          spec.initContainers[*].securityContext.seccompProfile.type, and
          spec.ephemeralContainers[*].securityContext.seccompProfile.type
          must be unset or set to `RuntimeDefault` or `Localhost`.
        pattern:
          spec:
            =(ephemeralContainers):
              - =(securityContext):
                  =(seccompProfile):
                    =(type): RuntimeDefault | Localhost
            =(initContainers):
              - =(securityContext):
                  =(seccompProfile):
                    =(type): RuntimeDefault | Localhost
            =(securityContext):
              =(seccompProfile):
                =(type): RuntimeDefault | Localhost
            containers:
              - =(securityContext):
                  =(seccompProfile):
                    =(type): RuntimeDefault | Localhost
      validationFailureAction: Enforce

內容解密：

  1. 策略的基本組成：Kyverno 的策略包括背景掃描設定、錯誤處理策略和具體的規則。
  2. 規則的定義：規則中定義了匹配條件、驗證模式和驗證失敗時的動作。
  3. 驗證模式的作用：驗證模式用於檢查 Kubernetes 資源是否符合特定的安全標準，例如是否使用了自定義的 Seccomp 組態檔案。

透過上述內容，我們可以看到 Kyverno 如何利用 JMESPath 和 YAML 錨點等高階功能來實作複雜的安全策略，以及如何透過策略的組成部分來控制 Kubernetes 資源的安全性和合規性。

Kyverno 策略執行的流程圖示

  graph LR;
    D[D]
    A[開始] --> B{檢查 AdmissionReview 物件};
    B -->|匹配|> C[執行 JMESPath 表示式];
    C --> D{檢查資源是否符合模式};
    D -->|符合|> E[執行驗證或變異動作];
    D -->|不符合|> F[傳回驗證失敗訊息];
    E --> G[結束];
    F --> G;

圖表翻譯：

此圖示展示了 Kyverno 處理 AdmissionReview 物件並執行相應策略的流程。首先，Kyverno 會檢查 AdmissionReview 物件是否與設定的條件相匹配。如果匹配，則會進一步執行 JMESPath 表示式來查詢資源資訊。接著，Kyverno 會檢查資源是否符合預先定義的安全模式。如果資源符合模式，則會執行相應的驗證或變異動作；如果不符合，則會傳回驗證失敗的訊息。最終，無論結果如何，流程都會結束。

總字數：6,005字

Kyverno 策略管理與 Kubernetes 整合深度解析

Kyverno 是一種強大的 Kubernetes 策略管理工具，提供多種策略型別以滿足不同的安全和管理需求。本文將探討 Kyverno 的策略組成、型別及其在 Kubernetes 環境中的應用。

Kyverno 策略組成要素

Kyverno 策略主要由以下幾個關鍵部分組成：

  1. 策略後設資料（Metadata）

    • 名稱（name）
    • 註解（annotations）
    • 類別（category）
    • 嚴重性（severity）
    • 相容的 Kyverno 和 Kubernetes 版本

  2. 規則（Rules）

    • 比對條件（match）
    • 預先檢查條件（preconditions）
    • 操作型別（mutate, validate, generate 等）

  3. 操作（Operations）

    • 變更（Mutate）
    • 驗證（Validate）
    • 生成（Generate）

策略後設資料範例

metadata:
  name: add-default-resources
  annotations:
    policies.kyverno.io/title: Add Default Resources
    policies.kyverno.io/category: Other
    policies.kyverno.io/severity: medium
    kyverno.io/kyverno-version: 1.6.0
    policies.kyverno.io/minversion: 1.6.0
    kyverno.io/kubernetes-version: "1.23"
    policies.kyverno.io/subject: Pod

Kyverno 策略型別詳解

Kyverno 支援多種策略型別，每種型別都有其特定的應用場景：

  1. 變更（Mutate）策略

    • 用於修改傳入的 API 請求
    • 可用於新增或修改資源的屬性
    • 可觸發現有資源的更新

  2. 驗證（Validate）策略

    • 用於驗證資源是否符合特定條件
    • 可用於強制執行安全和合規要求

  3. 生成（Generate）策略

    • 用於自動生成所需的資源
    • 可用於建立預設組態或相關資源

  4. 清理（CleanUp）策略

    • 用於清理不再需要的資源
    • 可用於維護叢集的整潔性

  5. 映像檔驗證（VerifyImages）策略

    • 用於驗證容器映像檔的完整性和來源
    • 可用於增強供應鏈的安全性

變更策略實務應用

變更策略是 Kyverno 中最常用的策略型別之一。以下是一個實際的範例，展示如何使用變更策略為多個資源型別新增標籤：

新增標籤的變更策略範例

spec:
  mutateExistingOnPolicyUpdate: true
  rules:
  - name: add-labels
    match:
      any:
      - resources:
          kinds:
          - Pod
          - Service
          - ConfigMap
          - Secret
    mutate:
      patchStrategicMerge:
        metadata:
          labels:
            owner: jimmy
            billing: lob-cc
            env: dev

程式碼解析：

此變更策略會為 Pod、Service、ConfigMap 和 Secret 資源新增特定的標籤。透過設定 mutateExistingOnPolicyUpdate: true，現有的資源也會在策略更新時被修改。

實際應用場景：

  1. 統一管理資源標籤，方便成本分攤和資源追蹤
  2. 自動為新建立的資源新增必要的後設資料
  3. 確保資源符合組織的命名和標記規範

策略範圍與應用

Kyverno 的策略可以分為兩種範圍：

  1. 叢集範圍（ClusterPolicy）

    • 作用於整個 Kubernetes 叢集
    • 使用 clusterpolicies.kyverno.io CRD

  2. 名稱空間範圍（Policy）

    • 作用於特定的名稱空間
    • 使用 policies.kyverno.io CRD

最佳實踐與建議

  1. 策略設計

    • 明確定義策略的目標和範圍
    • 使用適當的註解提供後設資料

  2. 測試與驗證

    • 在測試環境中充分測試策略
    • 使用 Kyverno 提供的工具進行策略驗證

  3. 持續監控與改進

    • 定期檢視和更新現有策略
    • 監控策略執行的結果和影響
  1. 繼續擴充套件 Kyverno 的功能以滿足更多樣化的需求
  2. 加強與其他安全工具的整合
  3. 提供更完善的策略管理和監控機制

透過持續的最佳化和改進，Kyverno 將在 Kubernetes 安全和管理領域發揮越來越重要的作用。

策略實施的技術細節與注意事項

在實施 Kyverno 策略時，需要注意以下技術細節：

  1. JMESPath 的使用 Kyverno 利用 JMESPath 進行複雜的資料查詢和操作。例如，在檢查操作和處理映像檔變數時，JMESPath 提供強大的功能。

  2. YAML 鎎定（Anchors）的應用 YAML 鎎定允許在 YAML 檔案中重複使用內容，減少重複並提高可讀性。

  3. foreach 功能的運用 foreach 功能允許對列表物件進行迭代處理，這在處理容器或多個資源時非常有用。

foreach 使用範例：

foreach:
- list: "request.object.spec.containers"
  patchStrategicMerge:
    spec:
      containers:
      - name: "{{ element.name }}"
        image: >
          registry.k8s.io/{{ images.containers."{{element.name}}".path}}:{{images.containers."{{element.name}}".tag}}

圖表說明：Kyverno 策略處理流程

  graph LR
    A[接收 API 請求] --> B[Kyverno Webhook]
    B --> C[比對策略規則]
    C -->|匹配| D[執行變更或驗證]
    C -->|不匹配| E[放行請求]
    D --> F[傳回處理結果]

圖表翻譯： 此圖示呈現了 Kyverno 處理 Kubernetes API 請求的流程。首先，請求被 Kyverno 的 Webhook 攔截，然後與已定義的策略規則進行比對。如果請求匹配某個規則，則執行相應的變更或驗證操作；如果不匹配，則直接放行請求。最後，將處理結果傳回給 Kubernetes API 伺服器。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。