编辑“︁Kubernetes配置验证”︁

{{DISPLAYTITLE:Kubernetes配置验证}}  
'''Kubernetes配置验证'''是确保Kubernetes资源定义文件（如YAML或JSON）符合语法规范和业务逻辑的关键步骤。通过验证，可以避免因配置错误导致的部署失败或运行时异常。本指南将详细介绍验证方法、工具及实际应用场景。  

== 概述 ==  
Kubernetes配置验证分为两类：  
# '''静态验证'''：检查资源配置文件的语法、字段合法性（如`kubectl apply --dry-run`）。  
# '''动态验证'''：通过Admission Controllers或Webhooks在资源创建/更新时强制执行策略（如Open Policy Agent）。  

== 验证方法 ==  

=== 1. 使用kubectl内置验证 ===  
`kubectl`提供以下命令验证配置：  

<syntaxhighlight lang="bash">  
# 语法验证（dry-run模式）  
kubectl apply -f deployment.yaml --dry-run=client  

# 字段合法性验证（schema校验）  
kubectl create -f pod.yaml --validate=true  
</syntaxhighlight>  

'''输出示例'''（错误场景）：  
<syntaxhighlight lang="text">  
error: error validating "pod.yaml": error validating data: ValidationError(Pod.spec.containers[0]): unknown field "imageName" in io.k8s.api.core.v1.Container  
</syntaxhighlight>  

=== 2. 使用kubeval工具 ===  
[kubeval](https://www.kubeval.com/)是独立的YAML验证工具，支持多版本Kubernetes API：  

<syntaxhighlight lang="bash">  
# 安装  
brew install kubeval  

# 验证文件  
kubeval deployment.yaml  
</syntaxhighlight>  

'''输出示例'''：  
<syntaxhighlight lang="text">  
PASS - deployment.yaml contains a valid Deployment (apps/v1)  
</syntaxhighlight>  

=== 3. 使用Admission Webhooks ===  
动态验证通过Webhooks实现，例如使用[Kyverno](https://kyverno.io/)策略引擎：  

<mermaid>  
sequenceDiagram  
    User->>API Server: 提交资源配置  
    API Server->>Webhook: 转发请求  
    Webhook->>Policy Engine: 校验策略  
    Policy Engine-->>Webhook: 允许/拒绝  
    Webhook-->>API Server: 返回结果  
    API Server->>User: 反馈操作状态  
</mermaid>  

'''示例策略'''（禁止使用latest标签）：  
<syntaxhighlight lang="yaml">  
apiVersion: kyverno.io/v1  
kind: ClusterPolicy  
metadata:  
  name: disallow-latest-tag  
spec:  
  rules:  
  - name: validate-image-tag  
    match:  
      resources:  
        kinds:  
        - Pod  
    validate:  
      message: "使用latest标签可能导致版本不一致"  
      pattern:  
        spec:  
          containers:  
          - image: "!*:latest"  
</syntaxhighlight>  

== 实际案例 ==  

=== 案例1：资源配额验证 ===  
确保命名空间资源配额不被超额申请：  

<syntaxhighlight lang="yaml">  
# quota.yaml  
apiVersion: v1  
kind: ResourceQuota  
metadata:  
  name: mem-cpu-demo  
spec:  
  hard:  
    requests.cpu: "1"  
    requests.memory: 1Gi  
</syntaxhighlight>  

'''验证步骤'''：  
1. 创建配额：`kubectl apply -f quota.yaml`  
2. 提交超限Pod时触发动态拒绝：  
<syntaxhighlight lang="text">  
Error from server (Forbidden): error when creating "pod.yaml": pods "mem-example" is forbidden: exceeded quota: mem-cpu-demo  
</syntaxhighlight>  

=== 案例2：自定义CRD验证 ===  
通过OpenAPI schema验证自定义资源：  

<syntaxhighlight lang="yaml">  
apiVersion: apiextensions.k8s.io/v1  
kind: CustomResourceDefinition  
spec:  
  validation:  
    openAPIV3Schema:  
      properties:  
        spec:  
          required: ["replicas"]  
          properties:  
            replicas:  
              type: integer  
              minimum: 1  
              maximum: 5  
</syntaxhighlight>  

== 数学表达（可选） ==  
配置验证的覆盖率可通过以下公式计算：  
<math>  
\text{Coverage} = \frac{\text{Verified Fields}}{\text{Total Fields}} \times 100\%  
</math>  

== 总结 ==  
* 静态验证适合开发阶段快速反馈  
* 动态验证保障生产环境合规性  
* 结合工具链（如kubeval + Kyverno）实现端到端校验  

{{Tip|使用`kubectl explain <resource>.<field>`查询字段的合法值}}

[[Category:集成部署]]
[[Category:Kubernetes]]
[[Category:Kubernetes配置管理]]