Hayır, Kyverno'nun yerini almaz.

Kyverno nedir

Kyverno, Kubernetes'in policy engine'idir ve bunu nezaketen söylemiyoruz: CNCF projeyi 16 Mart 2026'da graduated statüsüne aldı, yani Kubernetes, Prometheus, Envoy ve Helm ile aynı seviyeye. Her türden kaynağı doğrular, değiştirir, üretir ve temizler. Policy'leri önce öğrenmeniz gereken bir dil değil, Kubernetes kaynaklarıdır. Apache-2.0 lisanslıdır, satın alınacak bir lisansı yoktur.

Container image'larını da doğrular. verifyImages kuralları ve daha yeni olan ImageValidatingPolicy, cosign imzalarını ve attestation'ları kontrol eder; bunu açık anahtarla ya da keyless olarak bir kimlik ve issuer'a göre yapar. Image'ı policy'nin istediğini taşımayan pod'u reddeder. Bu gerçek bir image güvenliğidir ve ücretsizdir. Aksini söyleyen size bir şey satmaya çalışıyordur.

Nerede örtüşürler

Tek bir kuralda: bu image'ı güvendiğimiz biri mi imzalamış? İki proje de bu soruyu admission'da cevaplar, ikisi de cosign formatlarını kullanır, ikisi de bir anahtarla ya da keyless kimlikle çalışabilir. İhtiyacınız imza doğrulamadan ibaretse Kyverno bunu zaten yapıyor; bunun için bize ihtiyacınız yok.

Boşluk nerede

Bir policy engine önündeki isteği değerlendirir. Başka birinin ürettiği bir attestation'ı okuyup içindekine göre karar verebilir. Ama o attestation'ı üretmek, zafiyet veritabanını güncel tutmak, dün bir CVE yayımlandı diye üç hafta önce admission'dan geçmiş bir image'ı yeniden taramak ve bir dönem raporlanabilsin diye her kararın geçmişini saklamak bir policy engine'in işi değildir. Kyverno da böyle bir iddiada bulunmuyor.

Ekipler bu boşluğu ikinci bir araçla ve ikisinin arasına kurdukları bir pipeline ile kapatır: rapor yazan bir tarayıcı, o raporları okuyan bir engine ve bir yerde ikisini denetçinin kabul edeceği hâle getiren bir tablo dosyası. Attestkeep bu boşluğu tek bir release olarak kapatır: tarayıcı, imza doğrulayıcı, karar deposu ve rapor aynı programdır. Bu yüzden bir kararın kaydı kararın kendisinden ayrışamaz.

Kyverno'nun geri kalanı ise Attestkeep'te yok. Label yazmaz, kaynak üretmez; replica, limit, namespace ya da network policy konusunda hiçbir kural uygulamaz ve hiç mutating webhook çalıştırmaz. Image'ın dışındaki hiçbir şeye karışmaz.

İkisi birlikte

İkisi bir arada çalışacak şekilde tasarlandı. Attestkeep yalnızca validating webhook kaydeder; mutating webhook olmadığı için düşünmeniz gereken bir admission sıralaması sorunu da yoktur. Kendini yalnızca gösterdiğiniz namespace'lerle sınırlar. Kyverno zaten yaptığı her şeyi yapmaya devam eder. Mantıklı iş bölümü isimlerden de anlaşılır: kaynaklarınızın şekli Kyverno'da, image'ın içeriği ve neden içeri alındığının kaydı Attestkeep'te.

Bir image kuralını zaten Kyverno'da yazdıysanız ya orada bırakın ya buraya taşıyın; ikisinde birden tutmayın. Aynı pod'u reddeden iki engine tek bir ret için iki ayrı mesaj üretir ve nöbetçi olan yalnızca ilkini okur.

Hangisi size gerekli

Yalnızca Kyverno şu durumlarda doğru tercihtir: sorununuz bütün cluster'daki policy'lerse, image güvenliğinde imza doğrulamanın ötesine geçmeniz gerekmiyorsa ya da tarayıcınız ve kanıt süreciniz başka bir yerde zaten var ve çalışıyorsa.

Kyverno'nun yanında Attestkeep, biri bir policy engine'in önündeki istekten cevaplayamayacağı bir soru sorduğunda işe yaramaya başlar: geçen çeyrekte ne çalışıyordu, neyi neden reddettik, bu bulgulardan hangisi gerçekten istismar ediliyor ve bunu gösteren imzalı kayıt nerede? Bu soruların cevabı kanıt paketidir. Community Edition süresiz ücretsiz olduğu için karar vermeden önce ikisini kendi cluster'ınızda yan yana deneyebilirsiniz.