Cloud Native Computing Foundation
·
宣布Kyverno 1.13版本发布！
内容提要
Kyverno 1.13发布，新增Sigstore签名验证、PolicyException支持和断言树等功能，包含700多项更改，增强了Kubernetes资源的自动生成和验证，提升了安全性与灵活性。
关键要点
-
Kyverno 1.13发布，新增Sigstore签名验证、PolicyException支持和断言树等功能。
-
此次更新包含700多项更改，来自39位贡献者。
-
新增Sigstore Bundle验证，支持验证使用sigstore格式的容器镜像签名。
-
引入PolicyException声明，支持从Kyverno策略自动生成Kubernetes ValidatingAdmissionPolicies。
-
引入断言树，允许在验证规则中使用，增强了Kyverno的灵活性。
-
foreach声明允许生成多个目标资源，支持动态配置。
-
API调用增强，支持默认值和自定义头部，提升API调用的灵活性。
-
报告功能增强，支持生成和变更规则的报告。
-
安全性增强，移除通配符角色和不安全的配置，限制PolicyException的创建。
-
改进了与ArgoCD的集成，确保Webhook配置在卸载时自动清理。
-
政策CRD的版本管理更新，Policy Exceptions和Cleanup Policies已升级到稳定版本（v2）。
延伸解读
Sigstore签名验证的意义
Kyverno 1.13引入了Sigstore签名验证功能，允许用户验证使用sigstore格式的容器镜像签名。这一功能不仅提升了容器镜像的安全性，还增强了与GitHub等平台的集成，确保了软件供应链的可信性。用户在使用时应关注如何配置相关策略，以确保镜像的安全性得到有效保障。
PolicyException的应用场景
新版本支持PolicyException声明，允许用户从Kyverno策略自动生成Kubernetes ValidatingAdmissionPolicies。这一功能使得用户可以灵活地管理资源的验证规则，特别是在复杂的多租户环境中，能够有效地排除特定资源的验证，提升了策略的灵活性和可维护性。
安全性增强的影响
Kyverno 1.13移除了通配符角色和不安全的配置，限制PolicyException的创建。这一变化虽然提升了安全性，但可能会影响到某些用户的现有策略，特别是那些依赖于宽松权限的场景。用户在升级时需仔细评估现有策略的兼容性，确保不影响业务运行。
延伸问答
Kyverno 1.13版本有哪些主要新功能？
Kyverno 1.13版本新增了Sigstore签名验证、PolicyException支持和断言树等功能。
Sigstore Bundle验证的作用是什么？
Sigstore Bundle验证支持验证使用sigstore格式的容器镜像签名，增强了安全性。
PolicyException在Kyverno 1.13中有什么新用法？
PolicyException声明支持从Kyverno策略自动生成Kubernetes ValidatingAdmissionPolicies，允许创建资源的排除规则。
Kyverno 1.13如何增强API调用的灵活性？
API调用增强支持默认值和自定义头部，提升了API调用的灵活性。
Kyverno 1.13在安全性方面做了哪些改进？
移除了通配符角色和不安全的配置，限制PolicyException的创建，以增强安全性。
如何使用Kyverno 1.13中的断言树？
断言树可以在验证规则中使用，允许更灵活的策略定义，例如禁止使用默认服务账户。
