pub/kyverno-2026-example
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

init

Browse Source
This commit is contained in:
Vassiliy Yegorov
2026-04-08 20:22:14 +07:00
commit 34fbdd1412
96 changed files with 5321 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files

66
01-introduction/01-what-is-kyverno/README.md Normal file
View File

@@ -0,0 +1,66 @@
# Урок 1.1 — Что такое Kyverno и зачем он нужен
Этот урок — теоретический. Ниже — сравнительная шпаргалка и ссылки для подготовки к следующим урокам.
## Сравнение: Kyverno vs OPA Gatekeeper
| Критерий | Kyverno | OPA Gatekeeper |
|----------|---------|----------------|
| Язык политик | YAML + JMESPath | Rego |
| Порог входа | Низкий | Высокий |
| Kubernetes-native | Да | Частично |
| Готовых политик | 300+ (kyverno.io/policies) | Много (github.com/open-policy-agent/gatekeeper-library) |
| Mutation | Да | Ограниченно |
| Generation | Да | Нет |
| Image verification | Да (Cosign) | Нет |
## Типы политик
```
ClusterPolicy — кластерный ресурс (все namespace)
Policy — namespace-scoped ресурс
Операции:
validate → проверить ресурс, отклонить при нарушении
mutate → изменить ресурс при создании/обновлении
generate → создать вспомогательные ресурсы
verifyImages → проверить подпись образа
```
## Архитектура Kyverno
```
kubectl apply -f pod.yaml
│
▼
API Server
│
├──► Mutating Webhook ──► Kyverno (mutate rules)
│ │
│ изменённый ресурс
│ │
├──► Validating Webhook ──► Kyverno (validate rules)
│ │
│ pass / deny
▼
etcd
│
▼
Background Controller ──► сканирует существующие ресурсы
Reports Controller ──► создаёт PolicyReport
Generate Controller ──► создаёт вспомогательные ресурсы
Cleanup Controller ──► удаляет по расписанию
```
## Задание
1. Изучите [официальную документацию](https://kyverno.io/docs/)
2. Просмотрите готовые политики на [kyverno.io/policies](https://kyverno.io/policies/)
3. Подготовьте кластер для следующего урока:
```bash
# Локально через kind
kind create cluster --name kyverno-lab
# Или minikube
minikube start --memory=4096 --cpus=2
```

123
01-introduction/02-installation/README.md Normal file
View File

@@ -0,0 +1,123 @@
# Урок 1.2 — Установка и настройка Kyverno
## 1. Добавить Helm репозиторий
```bash
helm repo add kyverno https://kyverno.github.io/kyverno/
helm repo update
# Посмотреть доступные версии
helm search repo kyverno/kyverno --versions | head -10
```
## 2. Установка
### Development / Lab
```bash
helm install kyverno kyverno/kyverno \
--namespace kyverno \
--create-namespace \
--values values-development.yaml
```
### Production
```bash
helm install kyverno kyverno/kyverno \
--namespace kyverno \
--create-namespace \
--values values-production.yaml
```
## 3. Проверка установки
```bash
# Статус подов
kubectl get pods -n kyverno
# Все поды должны быть Running:
# NAME READY STATUS RESTARTS
# kyverno-admission-controller-xxx 1/1 Running 0
# kyverno-background-controller-xxx 1/1 Running 0
# kyverno-cleanup-controller-xxx 1/1 Running 0
# kyverno-reports-controller-xxx 1/1 Running 0
# Проверить webhook конфигурации
kubectl get validatingwebhookconfigurations | grep kyverno
kubectl get mutatingwebhookconfigurations | grep kyverno
# Проверить что caBundle не пустой (признак корректной регистрации webhook)
kubectl get validatingwebhookconfigurations \
kyverno-resource-validating-webhook-cfg \
-o jsonpath='{.webhooks[0].clientConfig.caBundle}' | wc -c
# Посмотреть события
kubectl get events -n kyverno --sort-by='.lastTimestamp' | tail -20
# Логи admission controller
kubectl logs -n kyverno \
-l app.kubernetes.io/component=admission-controller \
--tail=50
```
## 4. Тестовая политика
```bash
# Создать тестовую политику
kubectl apply -f test-policy.yaml
# Попробовать создать ConfigMap без обязательного лейбла (должна быть ошибка)
kubectl create configmap test-bad --from-literal=key=value -n default
# Создать правильный ConfigMap
kubectl apply -f - <<EOF
apiVersion: v1
kind: ConfigMap
metadata:
name: test-good
namespace: default
labels:
test: "true"
data:
key: value
EOF
# Удалить тестовую политику
kubectl delete -f test-policy.yaml
kubectl delete configmap test-good -n default
```
## 5. Обновление Kyverno
```bash
# Обновить CRD отдельно (важно!)
helm upgrade kyverno kyverno/kyverno \
--namespace kyverno \
--set crds.install=true \
--values values-production.yaml
# Проверить статус политик после обновления
kubectl get clusterpolicies -o wide
```
## 6. Удаление Kyverno
```bash
# ВНИМАНИЕ: сначала переведите критичные политики в Audit режим
# Удалить через Helm
helm uninstall kyverno -n kyverno
# Удалить CRD
kubectl delete crd $(kubectl get crd | grep kyverno | awk '{print $1}')
# Удалить webhook конфигурации (если остались)
kubectl delete validatingwebhookconfigurations \
$(kubectl get validatingwebhookconfigurations | grep kyverno | awk '{print $1}') \
2>/dev/null || true
kubectl delete mutatingwebhookconfigurations \
$(kubectl get mutatingwebhookconfigurations | grep kyverno | awk '{print $1}') \
2>/dev/null || true
```

28
01-introduction/02-installation/test-policy.yaml Normal file
View File

@@ -0,0 +1,28 @@
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
name: test-installation-policy
annotations:
policies.kyverno.io/title: "Тестовая политика установки"
policies.kyverno.io/description: >-
Временная политика для проверки корректности установки Kyverno.
Удалите после проверки.
spec:
validationFailureAction: Enforce
background: false
rules:
- name: require-test-label
match:
resources:
kinds:
- ConfigMap
namespaces:
- default
validate:
message: >-
ConfigMap в namespace default должен иметь лейбл test=true.
Это тестовая политика для проверки установки Kyverno.
pattern:
metadata:
labels:
test: "?*"

31
01-introduction/02-installation/values-development.yaml Normal file
View File

@@ -0,0 +1,31 @@
# values-development.yaml
# Минимальная конфигурация для dev/lab окружения
replicaCount: 1
admissionController:
replicas: 1
resources:
limits:
cpu: 500m
memory: 256Mi
requests:
cpu: 100m
memory: 128Mi
backgroundController:
replicas: 1
resources:
limits:
cpu: 200m
memory: 128Mi
reportsController:
replicas: 1
cleanupController:
replicas: 1
config:
webhooks:
timeoutSeconds: 10

73
01-introduction/02-installation/values-production.yaml Normal file
View File

@@ -0,0 +1,73 @@
# values-production.yaml
# Production-ready конфигурация с HA и мониторингом
replicaCount: 3
admissionController:
replicas: 3
podDisruptionBudget:
enabled: true
minAvailable: 2
resources:
limits:
cpu: 1000m
memory: 512Mi
requests:
cpu: 100m
memory: 128Mi
# Распределение по разным нодам
topologySpreadConstraints:
- maxSkew: 1
topologyKey: kubernetes.io/hostname
whenUnsatisfiable: DoNotSchedule
labelSelector:
matchLabels:
app.kubernetes.io/component: admission-controller
# Метрики для Prometheus Operator
serviceMonitor:
enabled: true
metricsService:
create: true
port: 8000
extraArgs:
- --v=2
- --loggingFormat=json
backgroundController:
replicas: 2
resources:
limits:
cpu: 500m
memory: 256Mi
requests:
cpu: 100m
memory: 128Mi
extraArgs:
- --v=2
- --loggingFormat=json
reportsController:
replicas: 2
resources:
limits:
cpu: 200m
memory: 128Mi
extraArgs:
- --v=2
cleanupController:
replicas: 2
config:
webhooks:
# Если Kyverno не ответил за 10 секунд — API Server применяет failurePolicy
timeoutSeconds: 10
# Автоматическая очистка webhook-конфигураций при удалении Kyverno
webhooksCleanup:
enabled: true

56
01-introduction/03-policy-structure/README.md Normal file
View File

@@ -0,0 +1,56 @@
# Урок 1.3 — Структура и синтаксис политик Kyverno
## Анатомия политики
Откройте `annotated-policy.yaml` — в нём каждое поле прокомментировано.
## Операторы в паттернах
| Оператор | Значение | Пример |
|----------|----------|--------|
| `?*` | поле существует и не пустое | `app: "?*"` |
| `*` | wildcard, любое значение | `image: "*.azurecr.io/*"` |
| `^(a\|b)$` | регулярное выражение | `env: "^(dev\|staging\|production)$"` |
| `>=2` | числовое сравнение | `replicas: ">=2"` |
| `=(field)` | опциональное поле | `=(privileged): false` |
| `+(field)` | добавить только если нет (в mutate) | `+(label): value` |
## Структура match
```yaml
match:
any: # ИЛИ — любое из условий
- resources:
kinds: [Pod]
namespaces: [production]
all: # И — все условия одновременно
- resources:
kinds: [Deployment]
- subjects:
- kind: ServiceAccount
name: my-sa
```
## Практические задания
```bash
# 1. Изучить структуру политики
cat annotated-policy.yaml
# 2. Применить политику
kubectl apply -f annotated-policy.yaml
# 3. Протестировать через kyverno CLI без кластера
kyverno apply annotated-policy.yaml --resource test-resources/pod-good.yaml
kyverno apply annotated-policy.yaml --resource test-resources/pod-bad.yaml
# 4. Применить тестовые ресурсы в кластер
kubectl apply -f test-resources/
# 5. Посмотреть результаты в PolicyReport
kubectl get policyreports -n default -o yaml
# 6. Удалить ресурсы
kubectl delete -f test-resources/
kubectl delete -f annotated-policy.yaml
```

68
01-introduction/03-policy-structure/annotated-policy.yaml Normal file
View File

@@ -0,0 +1,68 @@
apiVersion: kyverno.io/v1
kind: ClusterPolicy # ClusterPolicy = все namespace, Policy = один namespace
metadata:
name: annotated-example-policy
annotations:
# Мета-информация для Kyverno UI и PolicyReport
policies.kyverno.io/title: "Пример структуры политики"
policies.kyverno.io/category: "Best Practices"
policies.kyverno.io/severity: medium # critical | high | medium | low
policies.kyverno.io/subject: "Pod"
policies.kyverno.io/description: >-
Пример политики с подробными комментариями.
Требует наличия лейбла app у всех Podов.
policies.kyverno.io/version: "1.0.0"
spec:
# Enforce = отклонять запросы при нарушении
# Audit = пропускать, но фиксировать в PolicyReport
validationFailureAction: Audit
# true = проверять также уже существующие ресурсы (через background controller)
background: true
rules:
- name: require-app-label # уникальное имя правила внутри политики
# match: к каким ресурсам применяется правило
match:
any: # ИЛИ: ресурс попадает хотя бы под одно условие
- resources:
kinds:
- Pod
namespaces:
- default
- production
- staging
# exclude: ресурсы-исключения (не будут проверяться)
exclude:
resources:
namespaces:
- kube-system
- kyverno
selector:
matchLabels:
kyverno.io/skip-validation: "true"
# preconditions: дополнительные условия применения правила
# (match фильтрует по типу, preconditions — по содержимому)
preconditions:
any:
- key: "{{ request.operation }}"
operator: In
value: ["CREATE", "UPDATE"] # не проверять DELETE
# validate: правило проверки
validate:
# Сообщение об ошибке (поддерживает переменные)
message: >-
Pod '{{ request.object.metadata.name }}'
в namespace '{{ request.object.metadata.namespace }}'
должен иметь лейбл 'app'.
Добавьте: metadata.labels.app: <имя-приложения>
# pattern: описание того, как должен выглядеть ресурс
pattern:
metadata:
labels:
app: "?*" # поле должно существовать и быть не пустым

10
01-introduction/03-policy-structure/test-resources/pod-bad.yaml Normal file
View File

@@ -0,0 +1,10 @@
apiVersion: v1
kind: Pod
metadata:
name: pod-bad
namespace: default
# нет лейбла app — политика зафиксирует нарушение
spec:
containers:
- name: nginx
image: nginx:1.25

11
01-introduction/03-policy-structure/test-resources/pod-good.yaml Normal file
View File

@@ -0,0 +1,11 @@
apiVersion: v1
kind: Pod
metadata:
name: pod-good
namespace: default
labels:
app: my-application # лейбл присутствует — политика пропустит
spec:
containers:
- name: nginx
image: nginx:1.25