Cloud Native Computing Foundation
·
优秀的应用并非天生，而是引导而成：构建可观测的策略即代码
内容提要
本文介绍如何将Kyverno策略引擎与VictoriaMetrics监控系统结合，实现云原生环境中的策略可观测性。通过五类策略（验证、变更、生成、镜像验证、删除）覆盖工作负载全生命周期，并将策略执行转化为实时指标，帮助平台团队消除合规盲区、降低运维成本，实现治理与开发效率的平衡。
延伸解读
策略即代码的可见性价值
文章强调，策略执行不应成为黑盒。通过将Kyverno的准入控制事件转化为实时指标，平台团队能直观看到策略的允许/拒绝情况、资源分布及趋势，从而发现合规盲区、评估策略影响，并据此优化治理规则，避免策略过度限制开发效率。
降低运维成本与学习门槛
Kyverno使用标准YAML和CEL，VictoriaMetrics支持PromQL，无需学习专有语言即可编写和调整策略及监控。同时，VictoriaMetrics作为轻量级时序数据库，能高效处理高基数指标，配合Cardinality Explorer可识别高消耗标签，避免存储成本膨胀，适合大规模集群场景。
五类策略覆盖全生命周期
文章提出验证、变更、生成、镜像验证、删除五类策略，分别对应配置合规、自动修复、资源自动创建、供应链安全及关键资源保护。这种结构化方法将策略视为持续流程，而非孤立规则，使治理从静态强制转变为可度量、可改进的系统。
Q&A
如何将Kyverno与VictoriaMetrics集成以实现策略可观测性？
首先安装Kyverno策略引擎和VictoriaMetrics单节点服务器，然后部署vmagent来抓取Kyverno的metrics端点（端口8000）并发送到VictoriaMetrics。之后可以通过Grafana或vmui查询和分析策略指标。
Kyverno支持哪些策略类型？它们分别有什么作用？
Kyverno支持验证、变更、生成、镜像验证和删除五类策略。验证策略用于强制配置合规，变更策略自动注入缺失元数据，生成策略在命名空间创建时自动生成资源，镜像验证策略限制容器镜像来源，删除策略阻止删除关键工作负载。
为什么需要将策略执行转化为可观测的指标？
因为仅设置规则而不观察执行情况，策略执行会变成黑盒，难以发现配置错误、合规差距或对开发效率的影响。通过将策略执行转化为指标，平台团队可以实时了解策略效果，消除盲区，平衡治理与开发效率。
如何监控Kyverno策略的允许和拒绝请求数量？
可以使用PromQL查询`sum by (request_allowed)(kyverno_admission_requests_total)`来获取允许和拒绝的请求总数，按`request_allowed`标签分组。
使用VictoriaMetrics管理高基数指标有什么优势？
VictoriaMetrics是资源高效的时间序列数据库，能处理数百万数据点且内存开销低。其内置的Cardinality Explorer可以帮助团队识别哪些策略标签消耗最多存储，确保监控基础设施保持高性能，避免高额存储成本。
如何通过策略自动为命名空间生成ConfigMap？
通过Kyverno的生成策略，在命名空间创建时自动生成ConfigMap。示例中，策略匹配Namespace创建事件，并生成名为demo-config的ConfigMap，无需手动干预。
如何限制Pod只能使用受信任的容器镜像？
通过Kyverno的镜像验证策略，在Pod创建时验证镜像来源。示例中，策略只允许来自Docker Hub library的镜像（如nginx），其他镜像（如busybox）会被拒绝。
如何防止关键工作负载被意外删除？
通过Kyverno的删除策略，在删除Deployment等资源时进行拦截。示例中，策略拒绝所有对Deployment的DELETE操作，从而保护关键工作负载。
