生成 Kyverno 镜像签名策略

API端点

致电 /api/v1/policies/kyverno/generate/image-signature 带有管理令牌。响应返回完整的 Kyverno ClusterPolicy 显现。

请求示例

{
  "policy_name": "tenant-signature-policy",
  "validation_failure_action": "Enforce",
  "image_references": ["ghcr.io/acme/*"],
  "excluded_namespaces": ["kube-system"],
  "rekor_url": "https://rekor.sigstore.dev"
}

操作注意事项

• 使用 审计 首先模式观察违规行为而不阻塞工作负载。
• 晋升至 强制执行 在非生产命名空间中验证后。
• 使用 联合签名公钥 对于固定密钥验证或忽略它对于无密钥模式。
• 尽量减少排除的命名空间以保持策略覆盖范围。