Kyverno 是來自 Nirmata 的開源項目，后來捐贈給了 CNCF。Kyverno 是一個具有驗證和變異能力的 Kube.NETes 策略引擎，但是它還有生成資源的功能，還加入了 API 對象查詢的能力。Kyverno 原本就是為 Kubernetes 編寫的，除了對象生成功能之外，還無需專用語言即可編寫策略。
同樣 Kyverno 在 Kubernetes 集群中也是作為動態準入控制器運行的。Kyverno 從 kube-apiserver 接收驗證和修改準入 webhook HTTP 回調，并應用匹配策略返回執行準入策略或拒絕請求的結果。Kyverno 策略可以使用資源 Kind、name 和標簽選擇器匹配資源，而且名稱中支持通配符。
策略執行是通過 Kubernetes events 來捕獲的，Kyverno 還報告現有資源的策略違規行為。下圖顯示了 Kyverno 的整體架構：
Kyverno架構
Kyverno 的高可用安裝可以通過運行多個副本來完成，并且 Kyverno 的每個副本將具有多個執行不同功能的控制器。Webhook 處理來自 Kubernetes APIServer 的 AdmissionReview 請求，其 Monitor 組件創建和管理所需的配置。PolicyController watch 策略資源并根據配置的掃描間隔啟動后臺掃描，GenerateController 管理生成資源的生命周期。
安裝
首先需要保證你的 Kubernetes 集群版本必須高于 v1.14，要安裝的版本也和 Kubernetes 版本有關系。
兼容版本
我們這里已經是 v1.26.x 版本了，所以選擇安裝最新的 1.9.2 版本即可。
你可以選擇直接從最新版本的資源清單安裝 Kyverno，直接執行下面的命令即可：
? kubectl create -f https://Github.com/kyverno/kyverno/releases/download/v1.9.2/install.yaml
此外同樣可以使用 Helm 來進行一鍵安裝：
? helm repo add kyverno https://kyverno.github.io/kyverno/
? helm repo update
# Install the Kyverno Helm chart into a new namespace called "kube-kyverno"
? helm upgrade --install kyverno kyverno/kyverno -n kube-kyverno --create-namespace
Release "kyverno" does not exist. Installing it now.
NAME: kyverno
LAST DEPLOYED: Tue Apr 11 15:51:30 2023
NAMESPACE: kube-kyverno
STATUS: deployed
REVISION: 1
NOTES:
Chart version: 2.7.2
Kyverno version: v1.9.2
Thank you for installing kyverno! Your release is named kyverno.
?? WARNING: Setting replicas count below 3 means Kyverno is not running in high availability mode.
