当前位置：首页 > news >正文

终极指南：如何通过kube-bench与Kyverno集成实现Kubernetes策略执行与合规检测闭环

news 2026/5/12 18:12:20

终极指南：如何通过kube-bench与Kyverno集成实现Kubernetes策略执行与合规检测闭环

【免费下载链接】kube-benchChecks whether Kubernetes is deployed according to security best practices as defined in the CIS Kubernetes Benchmark项目地址: https://gitcode.com/gh_mirrors/ku/kube-bench

在Kubernetes运维中，确保集群安全合规是至关重要的任务。kube-bench作为CIS Kubernetes Benchmark的自动化检查工具，能够帮助管理员发现集群配置中的安全隐患。而Kyverno则是一个强大的策略引擎，可实现动态策略执行。本文将详细介绍如何将这两个工具无缝集成，构建从合规检测到自动修复的完整闭环，让你的K8s集群安全管理更高效、更智能。

为什么需要kube-bench与Kyverno的集成？

Kubernetes集群的安全管理通常面临两大挑战：如何发现安全问题和如何自动修复这些问题。kube-bench专注于前者，它通过扫描集群配置，对照CIS基准检查各项安全设置。而Kyverno则专注于后者，它可以在资源创建或更新时强制执行安全策略，甚至对现有资源进行自动修复。

将kube-bench与Kyverno结合使用，能够形成一个完整的安全闭环：kube-bench检测出不合规的配置，Kyverno则自动执行策略进行修复。这种集成不仅提高了安全管理的效率，还大大降低了人为错误的风险。

kube-bench与Kyverno集成的核心优势

全面的合规检测：kube-bench提供了丰富的检查规则，覆盖了CIS Kubernetes Benchmark的各个方面。通过cfg/目录下的配置文件，你可以轻松定制检查规则，满足特定的合规需求。
实时策略执行：Kyverno能够在资源创建时实时应用策略，防止不合规的资源被部署到集群中。这种"左移"的安全策略可以在问题发生之前就将其解决。
自动化修复：对于已经存在的不合规资源，Kyverno可以进行自动修复，减少了手动干预的需要。
可审计的安全状态：通过集成，你可以获得完整的安全状态报告，包括检测结果和修复情况，便于审计和合规检查。

集成步骤：从安装到配置

1. 安装kube-bench

首先，你需要在Kubernetes集群中安装kube-bench。可以通过以下命令克隆仓库并部署：

git clone https://gitcode.com/gh_mirrors/ku/kube-bench cd kube-bench kubectl apply -f job-master.yaml

这将在集群中创建一个Job，运行kube-bench检查控制平面节点的安全配置。检查结果将以日志形式输出，可以通过以下命令查看：

kubectl logs -l app=kube-bench

2. 安装Kyverno

接下来，安装Kyverno。可以通过Helm chart进行安装：

helm repo add kyverno https://kyverno.github.io/kyverno/ helm install kyverno kyverno/kyverno -n kyverno --create-namespace

3. 创建策略映射

要实现kube-bench与Kyverno的集成，需要创建一个策略映射，将kube-bench的检查结果映射到Kyverno策略。这可以通过创建一个ConfigMap来实现，例如：

apiVersion: v1 kind: ConfigMap metadata: name: kube-bench-kyverno-mapping data: mapping.yaml: | checks: - id: 1.1.1 policy: disallow-privileged-containers - id: 1.1.2 policy: require-authentication # 更多检查项...

4. 部署集成控制器

最后，部署一个集成控制器，该控制器将监控kube-bench的检查结果，并根据策略映射自动创建或更新Kyverno策略。这个控制器可以作为一个Deployment部署到集群中：

apiVersion: apps/v1 kind: Deployment metadata: name: kube-bench-kyverno-controller spec: replicas: 1 selector: matchLabels: app: kube-bench-kyverno-controller template: metadata: labels: app: kube-bench-kyverno-controller spec: containers: - name: controller image: kube-bench-kyverno-controller:latest volumeMounts: - name: mapping-config mountPath: /config volumes: - name: mapping-config configMap: name: kube-bench-kyverno-mapping

实际应用：从检测到修复的完整流程

让我们通过一个实际例子来看看集成后的工作流程。假设kube-bench检测到某个Pod使用了特权模式，违反了CIS基准的1.1.1项检查。

首先，kube-bench会生成如下检查结果：

集成控制器会监控到这个检查结果，并根据策略映射找到对应的Kyverno策略"disallow-privileged-containers"。然后，控制器会确保这个策略被部署到集群中。

Kyverno策略的示例如下：

apiVersion: kyverno.io/v1 kind: ClusterPolicy metadata: name: disallow-privileged-containers spec: validationFailureAction: enforce rules: - name: check-privileged match: resources: kinds: - Pod validate: message: "Privileged containers are not allowed" pattern: spec: containers: - securityContext: privileged: false

当这个策略部署后，Kyverno会阻止任何新的特权Pod被创建，并可以选择对现有特权Pod进行自动修复。

此外，你还可以将kube-bench的检查结果集成到安全管理平台，如AWS Security Hub：

这使得安全团队可以集中监控和管理集群的安全状态。