init

07-advanced/02-external-data/validate-registry-from-cache.yaml

@@ -0,0 +1,54 @@
+apiVersion: kyverno.io/v1
+kind: ClusterPolicy
+metadata:
+  name: validate-registry-from-cache
+  annotations:
+    policies.kyverno.io/title: "Проверка реестра через кэшированные данные"
+    policies.kyverno.io/category: Security
+    policies.kyverno.io/severity: high
+    policies.kyverno.io/subject: Pod
+    policies.kyverno.io/description: >-
+      Проверяет образ контейнера против списка разрешённых реестров,
+      хранящегося в ConfigMap external-data-cache.
+      Список обновляется каждые 10 минут CronJob из внешнего API.
+      Паттерн "кэш в ConfigMap" — быстрее чем прямые apiCall к внешним API.
+spec:
+  validationFailureAction: Enforce
+  background: true
+  rules:
+  - name: check-registry-from-cache
+    match:
+      resources:
+        kinds:
+        - Pod
+    exclude:
+      resources:
+        namespaces:
+        - kube-system
+        - kyverno
+    context:
+    - name: allowedRegistries
+      configMap:
+        name: external-data-cache
+        namespace: kyverno
+    validate:
+      message: >-
+        Образ '{{ element.image }}' из недоверенного реестра.
+        Список разрешённых реестров (обновлён {{ allowedRegistries.data.\"last-updated\" }}):
+        {{ allowedRegistries.data.\"allowed-registries\" }}
+      foreach:
+      - list: >-
+          request.object.spec.containers[] |
+          merge(request.object.spec.initContainers[] || `[]`, @)
+        deny:
+          conditions:
+            all:
+            - key: "{{ element.image }}"
+              operator: NotStartsWith
+              value: "registry.company.com/"
+            - key: "{{ element.image }}"
+              operator: NotStartsWith
+              value: "gcr.io/company-project/"
+            - key: "{{ element.image }}"
+              operator: NotStartsWith
+              value: "public.ecr.aws/company/"