fix pols for 1.18

07-advanced/02-external-data/validate-registry-from-cache.yaml

@@ -31,24 +31,22 @@ spec:
       configMap:
         name: external-data-cache
         namespace: kyverno
+    - name: allowedPattern
+      variable:
+        value: >-
+          {{ join('', ['^(', join('|', split(allowedRegistries.data.\"allowed-registries\", '\n')[?@ != '']), ')']) }}
     validate:
-      message: >-
-        Образ '{{ element.image }}' из недоверенного реестра.
-        Список разрешённых реестров (обновлён {{ allowedRegistries.data.\"last-updated\" }}):
-        {{ allowedRegistries.data.\"allowed-registries\" }}
       foreach:
       - list: >-
           request.object.spec.containers[] |
           merge(request.object.spec.initContainers[] || `[]`, @)
+        message: >-
+          Образ '{{ element.image }}' из недоверенного реестра.
+          Список разрешённых реестров (обновлён {{ allowedRegistries.data.\"last-updated\" }}):
+          {{ allowedRegistries.data.\"allowed-registries\" }}
         deny:
           conditions:
             all:
-            - key: "{{ element.image }}"
-              operator: NotStartsWith
-              value: "registry.company.com/"
-            - key: "{{ element.image }}"
-              operator: NotStartsWith
-              value: "gcr.io/company-project/"
-            - key: "{{ element.image }}"
-              operator: NotStartsWith
-              value: "public.ecr.aws/company/"
+            - key: "{{ regex_match(allowedPattern, element.image) }}"
+              operator: Equals
+              value: false