Валидация Kubernetes YAML на соответствие лучшим практикам и политикам

[diafour]

Возможности проверок через Jsonschema в Polaris и правда урезаны. Даже не столько набором валидаторов jsonschema, а тем что проверять можно Pod или Container.

target: Container # target can be "Container" or "Pod"

Похоже, что в недостатки Polaris можно добавить «Не умеет работать с CRD».

[ElwooD07]

Посмотрите на kyverno — он позволяет задавать свои политики, которые будут применяться в рантайме, т.е. не даст примениться yaml'у с определением, которое вас не устраивает. Этот инструмент позволяет также задавать политику мутации, т.е. чтобы новый ресурс создался, но с применением определенной мутации. Проверки и мутации работают вместе. Там еще много всего интересного, что выходит за рамки всех рассмотренных инструментов.

[gecube]

Спасибо, интересная утилита. Но выглядит так, что можно сделать то же самое через opa gatekeeper и это будет даже более гибко.

[ZhilyaevDmitriy]

Еще одна в копилку https://github.com/stackrox/kube-linter

[broken-ufa]

Кстати, kubeval R.I.P.

вместо него можно использовать https://github.com/yannh/kubeconform