Kyverno
Was ist Kyverno?
KyvernoKyverno ist eine CNCF-Kubernetes-Policy-Engine, die Ressourcen ueber in nativem YAML formulierte Policies validiert, mutiert und erzeugt, statt eine neue DSL einzufuehren.
Kyverno wird als Admission Webhook installiert und fuehrt ClusterPolicy- oder Policy-CRs in YAML aus, mit den Regeltypen selector, match, validate, mutate, generate und verifyImages. Da die Policy-Sprache die Struktur von Kubernetes-Objekten widerspiegelt, koennen Teams ohne Rego-Kenntnisse Regeln schreiben. Zusaetzlich uebernimmt Kyverno Image-Verifikation (Cosign/Notation), Background-Scans existierender Ressourcen, Exception-Workflows und das Generieren abhaengiger Objekte (NetworkPolicy, RoleBinding) beim Anlegen neuer Namespaces. Es wird typischerweise zur Durchsetzung von Pod Security Standards, Image-Signing, Label-Konventionen und Supply-Chain-Attestations eingesetzt und konkurriert mit OPA Gatekeeper.
● Beispiele
- 01
Policy, die in jedem neuen Namespace automatisch eine Default-Deny-NetworkPolicy erzeugt.
- 02
verifyImages-Policy verlangt eine gueltige Cosign-Signatur fuer alle Container-Images.
● Häufige Fragen
Was ist Kyverno?
Kyverno ist eine CNCF-Kubernetes-Policy-Engine, die Ressourcen ueber in nativem YAML formulierte Policies validiert, mutiert und erzeugt, statt eine neue DSL einzufuehren. Es gehört zur Kategorie Cloud-Sicherheit der Cybersicherheit.
Was bedeutet Kyverno?
Kyverno ist eine CNCF-Kubernetes-Policy-Engine, die Ressourcen ueber in nativem YAML formulierte Policies validiert, mutiert und erzeugt, statt eine neue DSL einzufuehren.
Wie schützt man sich gegen Kyverno?
Schutzmaßnahmen gegen Kyverno kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Kyverno?
Übliche alternative Bezeichnungen: Kyverno-Policy, ClusterPolicy.