Kyverno 中自动生成规则残留问题的技术分析

背景介绍

在 Kubernetes 安全策略管理工具 Kyverno 中，ImageValidatingPolicy（镜像验证策略）是一个重要功能，它允许管理员对容器镜像进行验证和控制。当这类策略针对 Pod 资源并启用自动生成（autogen）功能时，Kyverno 会自动为更高级的 Pod 控制器（如 Deployment）生成相应的规则。

问题现象

在 Kyverno v1.14.0 版本中发现了一个关键问题：当删除一个针对 Pod 的 ImageValidatingPolicy 后，系统未能正确清理自动生成的规则。如果后续创建了针对 Pod 控制器（如 Deployment）的新策略，系统会错误地同时执行新策略和已删除策略的残留规则，导致策略执行出现异常。

技术细节分析

自动生成机制的工作原理

Kyverno 的自动生成机制设计初衷是为了简化策略管理。当用户创建一个针对 Pod 的策略时，系统会自动为 Deployment、StatefulSet 等 Pod 控制器生成相应的策略规则。这些生成的规则会被注入到 webhook 配置中，确保对控制器的操作也能触发策略验证。

问题根源

问题的核心在于策略删除时的清理逻辑不完整。虽然主策略被删除，但其自动生成的规则在 webhook 配置中未被正确移除。更严重的是，当后续创建针对控制器的策略时，这些残留规则会被"复活"并参与策略执行。

影响范围

这个问题会影响以下场景：

1. 先创建 Pod 目标策略（启用 autogen）后删除
2. 再创建控制器目标策略（如 Deployment）
3. 创建 Deployment 时会受到已删除策略的影响

值得注意的是，如果后续创建的是另一个 Pod 目标策略，系统表现正常，这说明问题特定于控制器目标策略的场景。

解决方案

Kyverno 开发团队通过内部缓存机制的修复解决了这个问题。根本原因是删除策略时，内部缓存未能正确移除已删除策略的相关信息，导致自动生成规则残留。

最佳实践建议

对于使用 Kyverno 的管理员，建议：

1. 在升级到包含修复的版本前，如需删除 Pod 目标策略，建议同时检查并清理相关的 webhook 配置
2. 对于关键环境，在策略变更后验证 webhook 配置是否符合预期
3. 定期审计策略执行情况，确保没有意外行为

总结

这个问题展示了 Kubernetes 策略管理系统中自动生成机制的复杂性。Kyverno 通过及时修复确保了策略执行的准确性和可靠性，体现了该项目对稳定性的重视。对于用户而言，理解这类机制的工作原理有助于更好地设计和管理集群安全策略。