kyverno

소개

Kyverno는 쿠버네티스를 위한 정책 엔진으로, 정책-as-코드 방식을 통해 보안, 준수, 자동화 및 거버넌스를 제공합니다.

핵심 기능

• 쿠버네티스 입장 컨트롤러와 백그라운드 스캔을 사용하여 리소스 검증, 변형, 생성 및 정리
• 컨테이너 이미지 서명을 검증하여 공급망 보안 강화
• kubectl, kustomize, Git 등 기존 도구와 연동하여 정책 관리
• YAML 기반 정책 정의로 별도 DSL 학습 불필요
• SBOM(소재 명세서) 제공을 통한 투명성 확보

지원 환경

쿠버네티스 클러스터에서 실행되며, helm 또는 YAML 매니페스트를 통해 설치할 수 있습니다.

기본 사용법

1. helm을 사용해 kyverno 네임스페이스에 설치 (예: helm install kyverno kyverno/kyverno -n kyverno --create-namespace)
2. YAML 파일에 정책을 정의 (예: 포드 보안 표준, 이미지 서명 검증 등)
3. kubectl을 적용해 클러스터에 적용하면 입장 컨트롤러가 자동으로 정책을 평가 및 적용

활용 예시

• 클러스터 내 보안 및 컴플라이언스 정책 자동 적용
• 이미지 서명 검증을 통한 공급망 공격 방지
• 자동 리소스 생성 및 정리(예: 네임스페이스 라벨 추가, 오래된 리소스 삭제)

제한 사항 및 체크포인트

• kyverno는 전용 네임스페이스에 설치해야 하며, 다른 애플리케이션과 동일한 네임스페이스에 coexistence 불가
• 일부 기능(예: 자체 서명 인증서 생성)은 cert-manager가 사전 설치되어야 함
• 쿠버네티스 버전 호환성은 공식 문서를 참조해야 함

FAQ

• Kyverno를 사용하려면 코딩 전문 지식이 필요한가요?
  아니요. YAML 기반 정책으로 DSL 없이도 쉽게 정의할 수 있습니다.
• 어떤 도구와 함께 사용할 수 있나요?
  kubectl, kustomize, Git 등 기존 워크플로와 연동 가능합니다.
• 설치 방법은 무엇인가요?
  Helm 차트 또는 YAML 매니페스트를 통해 설치할 수 있으며, production 환경에서는 Helm이 권장됩니다.