Kyverno & Kyverno Policies

Запланируйте небольшое окно обслуживания: эти шаги на короткое время отключают контроль
допуска (admission control) Kyverno в кластере. Команды выполняются через kubectl в целевом
кластере.

Перед выполнением убедитесь, что CRD и вебхуки Kyverno не используются другой установкой, в том числе KSPM. CRD общие для всего кластера. Сохраните все типы собственных политик старой установки перед удалением их CRD; приведённая ниже команда сохраняет только ClusterPolicy и Policy. Удаляйте только ресурсы старого приложения, проверяя принадлежность и точные имена.

0. (Рекомендуется) Сделайте резервную копию собственных политик

Шаг 3 удаляет CRD Kyverno, а вместе с ними — все объекты ClusterPolicy/Policy, включая
созданные вами. (Встроенные политики Pod Security Standards создаются заново, если Kyverno Policies включён с профилем baseline или restricted; собственные политики сохраните отдельно.) История PolicyReports тоже удаляется; после переустановки отчёты будут созданы заново.

kubectl get clusterpolicies.kyverno.io,policies.kyverno.io -A -o yaml > my-kyverno-policies-backup.yaml

1. Удалите старую версию через Marketplace

Удаляйте старое приложение через Marketplace, а не командой helm uninstall:

• Консоль: Managed Service for Kubernetes → ваш кластер → Marketplace / установленные
  приложения → удалите приложение Kyverno; или
• Terraform: удалите ресурс yandex_kubernetes_marketplace_helm_release и выполните
  terraform apply (destroy).

При этом запускается pre-delete-хук старого чарта (который удаляет вебхуки Kyverno) и
очищается запись Marketplace об установке. Прямой helm uninstall минует Marketplace и
оставляет «осиротевшую» запись о приложении, что позже приводит к ошибке AlreadyExists
при установке новой версии.

2. Удалите оставшиеся admission-вебхуки Kyverno — критично

Kyverno регистрирует свои вебхуки во время работы. Если какие-то из них уцелели после шага 1
(например, старый контроллер не работал и pre-delete-хук не отработал), они указывают на уже
несуществующий Service и могут блокировать подходящие под их правила запросы API в зависимости от failure policy. Проверьте ссылку каждого вебхука на Service и удалите только вебхуки удалённого приложения. Подставьте проверенные имена вместо заполнителей и повторите команды для каждого оставшегося вебхука:

kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations | grep kyverno
kubectl delete validatingwebhookconfiguration <old-kyverno-validating-webhook>
kubectl delete mutatingwebhookconfiguration <old-kyverno-mutating-webhook>

3. Удалите старые CRD Kyverno — обязательно

Helm устанавливает CRD чарта (каталог crds/) только если таких CRD ещё нет — он никогда не
обновляет и не заменяет существующие. Если старые CRD (Kyverno 1.9) остаются, новая установка
продолжит использовать устаревшие определения, и новые контроллеры v1.19.2 попадут в
crash-loop на проверках наличия CRD (отсутствуют ephemeralreports.reports.kyverno.io, группа
policies.kyverno.io и т. д.). Удалите только CRD, принадлежащие исключительно старому приложению, чтобы установились новые определения:

kubectl get crd -o name
kubectl delete crd <old-kyverno-crd>

Повторите удаление для каждого проверенного CRD старой установки. updaterequests.kyverno.io не является удалённым типом: этот CRD входит и в текущую версию.

4. Удалите старое пространство имён

Удаляйте только выделенное пространство имён старого приложения, убедившись, что в нём нет чужих приложений. Никогда не удаляйте default или общее пространство имён: в них удаляйте только ресурсы старого приложения:

kubectl delete namespace <старое-пространство-имён>

5. Проверьте, что кластер очищен

kubectl get crd | grep -E 'kyverno\.io|wgpolicyk8s\.io'                     # пусто
kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations | grep kyverno   # пусто
kubectl get ns <старое-пространство-имён>                                   # NotFound

6. Установите новую версию

Установите новую версию Kyverno.

Затем проверьте установку и заново примените собственные политики из шага 0:

kubectl -n <пространство-имён> get pods     # 4 контроллера в состоянии Running: admission/background/cleanup/reports
kubectl get clusterpolicies.kyverno.io      # политики PSS при включённом baseline/restricted

При проверке сохранённых собственных политик замените устаревшее поле
spec.validationFailureAction полем на уровне правила —
spec.rules[].validate.failureAction (Audit/Enforce).