API-Endpunkt
Rufen Sie an /api/v1/policies/kyverno/generate/image-signature mit einem Admin-Token. Die Antwort gibt ein vollständiges Kyverno zurück ClusterPolicy Manifest.
Beispiel anfordern
{
"policy_name": "tenant-signature-policy",
"validation_failure_action": "Enforce",
"image_references": ["ghcr.io/acme/*"],
"excluded_namespaces": ["kube-system"],
"rekor_url": "https://rekor.sigstore.dev"
}Betriebshinweise
- Benutzen Prüfung Modus zuerst, um Verstöße zu beobachten, ohne Workloads zu blockieren.
- Bewerben zu Durchsetzen nach der Validierung in Nicht-Produktions-Namespaces.
- Benutzen cosign_public_key für die Überprüfung des festgesteckten Schlüssels oder lassen Sie es für den schlüssellosen Modus weg.
- Halten Sie ausgeschlossene Namespaces auf ein Minimum beschränkt, um die Richtlinienabdeckung aufrechtzuerhalten.