Kyverno

Définition

Kyverno est un moteur de politiques Kubernetes permettant de valider, muter, et générer des ressources Kubernetes via des politiques exprimées en YAML natif Kubernetes, sans nécessiter l'apprentissage d'un langage de programmation spécifique comme Rego (OPA). Il est devenu un projet CNCF incubé et une alternative populaire à OPA/Gatekeeper pour les équipes cherchant une solution plus accessible. Kyverno s'intègre comme Admission Controller dans Kubernetes et propose trois types de politiques. Les policies de validation (validate) refusent ou avertissent lors de la création de ressources non conformes. Les policies de mutation (mutate) modifient automatiquement les ressources lors de leur création (ex: ajouter automatiquement des labels, des limites de ressources, ou des annotations). Les policies de génération (generate) créent automatiquement des ressources dérivées (ex: créer automatiquement un NetworkPolicy dans chaque nouveau namespace). Les politiques Kyverno utilisent JMESPath et des fonctions intégrées pour exprimer les conditions, rendant les politiques lisibles par des ingénieurs DevOps sans formation en Rego. Une politique Kyverno pour interdire les images sans tag spécifique (ex: interdire :latest) : kind: ClusterPolicy, spec.rules[0].match.resources.kinds: [Pod], spec.rules[0].validate.message: "Utilisez une version de tag spécifique", spec.rules[0].validate.pattern.spec.containers[*].image: "!*:latest". La bibliothèque officielle de politiques Kyverno (kyverno.io/policies) propose des centaines de politiques prêtes à l'emploi couvrant : les Pod Security Standards, les best practices Kubernetes, la conformité NSA/CISA Kubernetes Hardening Guide, les contrôles CIS Kubernetes Benchmark, et les politiques spécifiques aux plateformes cloud (EKS, AKS, GKE). Kyverno inclut également des capacités de reporting de conformité via PolicyReports et ClusterPolicyReports (ressources CRD Kubernetes) permettant de visualiser l'état de conformité de toutes les ressources dans le cluster.