Done on some clusters .... Thanks .... #Kyverno  — Verify Kubernetes control plane images by Charles-Edouard Brétéché https://link.medium.com/4o73lt3xuzb

Une présentation intéressante sur 4 cas d'usage avancés de l'outil #Kyverno :
https://www.youtube.com/watch?v=kh3az4j33SQ
- Synchronisation de configmap dans plusieurs namespaces
- Redémarrer un pod lorsque un secret change
- Suppression de pod automatique
- Dimensionnement d'un déploiement à zéro si les pods crash x fois.
En plus des classiques vérifications de la politique de sécurité et réécriture à la volée de manifests.
#kubernetes #DevOps

I saw now several talks about companies using #kyverno to restrict deployments made to production.
They only allow deployments where #trivy or other scanners report a certain low amount of vulnerabilities. Also #sboms are checked for existence. Sometimes even more restrictions apply.

How do these companies handle then third party #docker images needed ? For example some official Python images?
Having some kind of automatic mirror of requested applications to fetch them and build the needed things on their own systems ?
Just blocking and tell them “yeah please wait few days until we work on that ticket”

It seems I am confusing or missing something…

two new features in #kubernetes 1.26 look really great. Having a built in CEL based admission controller looks really interesting for 80/20 stuff. Will be interesting to see how it plays with #opa #gatekeeper #kyverno. Also, the get self user info was inspired by my first ever issue i opened on Kubernetes for a "whoami" service! Only took fiveish years! https://sysdig.com/blog/kubernetes-1-26-whats-new/

Rolling out policies to prevent accidental deletion of critical components at Cloudplane. This alone would've prevented last weekend's disaster.

Kyverno makes this really simple too, awesome tool! #kyverno #kubernetes

Deuxième partie de mon article sur #Kyverno, le gestionnaire de politiques de conformité *Kubernetes-native*.

Dans cette partie, je présente les politiques "par défaut", l'UI et un tuto pour envoyer des alertes dans #Slack

https://blog.zwindler.fr/2022/09/05/vos-politiques-de-conformite-sur-kubernetes-avec-kyverno-part2/

Deuxième partie de mon article sur #Kyverno, le gestionnaire de politiques de conformité *Kubernetes-native*.

Pour aller plus loin que l'exemple de la dernière fois, dans cette partie, je présente les politiques "par défaut" et l'UI.

https://blog.zwindler.fr/2022/09/05/vos-politiques-de-conformite-sur-kubernetes-avec-kyverno-part2/

J'ai 2 articles de blogs prêts à paraitre :
- 1 sur #Terragrunt
- 1 sur #Kyverno (policy reporter UI + slack)

Teasing 😏

D'ailleurs, à propos de cet article de découverte de #Kyverno, est ce que ça vous plairait d'avoir un environnement @gitpod@twitter.com pour pouvoir le tester dans votre navigateur, en même temps que vous lisez l'article ?

RT @zwindler@twitter.com

Suite de mes devoirs de vacances sur le blog ✒️📜
12000 signes (~1800 mots) pour l'article sur @kyverno@twitter.com... et encore, je l'ai coupé en 2 parties🤣🤣🤣
Il sort lundi prochain je pense :)

🐦🔗: https://twitter.com/zwindler/status/1551673896151273472

@nalum #fluxcd v2 + #Mozilla #sops + #Vault is nice! I prefer it over #argoCD (I heard that AWS moved away from argo to flux).

For managing k8s resources I prefer simple and small controllers written in Go listening only to small subset of resources instead of what #kyverno is doing: intercepting every kubernetes api server traffic, which might be a bottleneck or a single point of failure, which I would avoid. But not sure, have not much experience with it.

I use mostly #kubebuilder code generators which I prefer over Operator Framework. Only unit-testing with the K8s fake client is not possible to an extend I would expect...
So we try to get more integration tests in our pipeline via ephemeral Kind/minikube/... clusters via #prow - which is not that straight forward...

Article du jour sur le blog de @padok_m33@twitter.com : ça parle de #Kyverno pour Kubernetes
https://www.padok.fr/blog/securite-kubernetes-kyverno
Amusante coincidence, j'ai présenté ce tool dans ma #CoP ce matin même ;-)