Вы можете запретить запуск контейнеров из неавторизованных реестров Docker-образов в выбранных пространствах имён Kubernetes.
Например, можно разрешить использование только корпоративного реестра registry.company.com. Это снижает риск запуска образов из непроверенных источников.
Заполнение конфигурационного файла
Чтобы включить проверку источников Docker-образов, заполните блок restrictImageRegistries в файле values-policies.yaml:
...
## политика разрешает запуск контейнеров только из доверенных реестров образов
restrictImageRegistries:
enabled: true
## список пространств имён, в которых будет применена политика ограничения реестров образов
namespace:
- elma365
## список разрешённых реестров Docker-образов
allowedRegistries:
- registry.company.com
...
где:
- restrictImageRegistries.enabled — установите значение true, чтобы включить проверку реестров. Значение false отключает проверку;
- restrictImageRegistries.namespace — укажите пространства имён, к которым применится политика;
- restrictImageRegistries.allowedRegistries — укажите разрешённые реестры образов.
После настройки политики безопасности выполните установку чарта kyverno-policies, как указано в шаге 3 этапа 2 статьи «Установка Kyverno».