Kyverno 策略报告怎样帮助定位集群合规差距

Kyverno 策略报告的价值，不是给集群生成一张“合规分数榜”，而是把当前资源、策略规则和结果字段关联起来。先看 pass/fail/warn/error/skip 五类结果，再沿着 policy、rule、资源名称和 message 回到具体对象，就能把“集群有合规差距”缩小成可执行的整改清单。

官方地址：https://kyverno.io/

先读懂 PolicyReport 的五类结果

Kyverno 会为匹配到策略的资源生成报告。命名空间资源通常落在 PolicyReport，集群级资源落在 ClusterPolicyReport。一个报告的摘要至少要同时看五个计数，不能只盯着 fail：

用 admission 和后台扫描建立当前基线

报告有两个重要触发来源：资源发生 CREATE、UPDATE、DELETE 等准入事件，或者后台扫描发现已有资源。先把两个范围分开看，才能判断差距来自新变更，还是来自历史存量。

# 查看所有命名空间的报告摘要，先记录五类结果的当前基线
kubectl get policyreport -A

# 查看集群级资源对应的报告，名称通常是随机值，使用 -o wide 辅助识别资源
kubectl get clusterpolicyreport -o wide

# 只筛选某个报告中的 fail 结果，再回到 policy、rule 和资源字段排查
kubectl get polr "$REPORT_NAME" -n "$NAMESPACE" -o jsonpath='{.results[?(@.result=="fail")]}' | yq -p json -

这里的“基线”是一次可重复读取的状态，不是历史趋势。资源删除后，相关条目会从报告中移除；如果需要审计被准入拦截的对象，应结合策略执行指标或 Kubernetes Events，不能只查 PolicyReport。

把 fail 结果变成合规差距清单

处理一个 fail 时，建议固定记录五列：资源、命名空间、策略、规则、整改证据。message 通常会给出失败路径，severity 可用于排序，但不要把严重级别直接当成业务风险。先判断对象是否由业务拥有，再决定是补标签、调整字段、修复策略还是建立例外。

对大型集群，结果持久化也需要有边界。Kyverno 文档说明可以通过报告控制器的 --allowedResults 只保存指定结果，例如只保存 fail，以减少 ETCD 压力；这会牺牲其它结果的可见性，应该先确认团队是否仍需要 pass 或 skip 作为基线。

从 Audit 观察到 Enforce 的迁移边界

Audit 适合先观察策略影响：违规资源可以继续创建，但报告会记录 fail。确认误报、例外和整改窗口后，再把策略切到 Enforce，让违规资源在准入阶段被阻断。不要用“fail 变少”作为唯一成功标准，还要复读资源清单，确认策略没有因为匹配范围、例外或执行错误而失去覆盖。

当前 Kyverno 1.19 已完成 CEL 策略类型的能力对齐，并宣布 Policy、ClusterPolicy 等旧类型进入弃用阶段，后续版本计划移除；官方发布说明同时明确 Policy Reports 不受这次迁移影响。因此升级时应迁移策略对象，却保留“报告基线—整改—再次读取—决定是否 Enforce”的治理闭环。

相关问题

PolicyReport 能不能当历史审计日志？

不能。它表示当前资源状态，资源删除后对应条目也会移除。历史审计应另行保存事件、指标或外部报告。

为什么被 Enforce 拒绝的资源不一定出现在报告里？

报告主要记录资源的策略结果；被 admission 直接阻断的对象应结合策略执行指标或 Kubernetes Events 排查。

只保留 fail 结果安全吗？

它能降低大型集群的存储压力，但会失去 pass、warn、error、skip 的完整上下文。先明确团队的基线和审计需求再配置。