Kyverno Cheatsheet

Kapitel

1. 01

   Architektur

   Admission-, Background-, Reports- und Cleanup-Controller, dynamisch erzeugte Webhooks, Zertifikatsrotation und warum Kyverno in einen dedizierten Namespace gehört.

2. 02

   Abgrenzung: K8s-native CEL-Policies

   Was ValidatingAdmissionPolicy und MutatingAdmissionPolicy im API-Server ohne Webhook leisten, was Kyverno darüber legt und wie spec.autogen eine native VAP erzeugt.

3. 03

   Policy-Typen (Stand 1.19)

   ValidatingPolicy, MutatingPolicy, GeneratingPolicy, DeletingPolicy und ImageValidatingPolicy als policies.kyverno.io/v1 sowie der Weg weg von ClusterPolicy, bevor 1.20 ihre Durchsetzung beendet.

4. 04

   Validieren mit CEL

   Enforcement mit Deny oder Audit, admission und background getrennt schalten, matchConstraints nach dem Muster der ValidatingAdmissionPolicy und der JSON-Mode für CI-Pipelines.

5. 05

   Mutieren & Generieren

   ApplyConfiguration oder JSONPatch, mutateExisting auf Bestandsressourcen, Trigger und Ziel trennen sowie GeneratingPolicy für Default-NetworkPolicy und ResourceQuota je Namespace.

6. 06

   PolicyReports (Compliance)

   PolicyReport und ClusterPolicyReport als offenes Format der Policy WG, die Alternative openreports.io, die fünf Ergebnisse und Background-Scans für Bestandsressourcen.

7. 07

   Image-Verifikation (Supply Chain)

   ImageValidatingPolicy mit Cosign (Public Key, Keyless) und Notary, SBOM- und in-toto-Attestations prüfen, die Digest-Optionen mutateDigest und verifyDigest seit 1.19 sowie das Registry-TLS im Image.

8. 08

   PolicyException & Autogen

   Gezielte Ausnahmen mit policyRefs und expiresAt, exceptionNamespace richtig setzen, die Lücke vor 1.19.1 bei ImageValidatingPolicy und Autogen für Pod-Controller.

9. 09

   Webhook-Betrieb

   failurePolicy zwischen Fail und Ignore, der fest auf Fail stehende Webhook protect-generation-labels seit 1.19.2, der Neustart-Deadlock, Timeouts pro Policy, resourceFilters und die httpBlocklist für Egress aus Policies.

10. 10

    Upgrade & Support

    24 Advisories in 1.19.2 vom 20.10.2026 und die Mindestversion 1.19.2, K8s-Matrix und Support-Fenster, CRD-Quellen im Chart, Go-Toolchain und was beim Upgrade auf 1.19 und kyverno-policies 3.9 zu prüfen ist.

11. 11

    Anti-Patterns

    Was bei Kyverno im Betrieb schiefgeht: neue Policies als ClusterPolicy, Enforce ohne Audit-Phase, pauschales fail-open, Wildcard-Matches und Namespaced Policies als Tenant-Self-Service.

Alle Kapitel auf einer Seite, zum Durchsuchen mit Strg+F und zum Drucken.