CI/CD Policy Gates — Policy-as-Code vor dem Deployment mit Kyverno-CLI & conftest

Dieses 90-Minuten-Modul löst eine Ankündigung ein, die im Modul Kubernetes Admission Controllers & Policy Engines bewusst offen blieb: Dort habt ihr die Regel “jeder Pod braucht ein Label team” mit Kyverno und mit OPA Gatekeeper am Cluster durchgesetzt – per Admission-Webhook, der einen Regelverstoß beim kubectl apply live abweist. Dieser Mechanismus gilt hier als bekannt und wird nicht erneut erklärt – wer ihn nachschlagen will, findet ihn im Vorgängerkurs. Hier geht es um einen anderen Kontrollpunkt für dieselbe Regel: Ein Admission-Webhook prüft erst, wenn kubectl apply bereits läuft und ein Cluster-Zugriff besteht. Ein CI/CD-Policy-Gate prüft dieselbe Regel vorher – gegen die YAML-Datei im Checkout, ohne dass überhaupt ein Cluster erreichbar sein muss. Im ersten Hands-on prüft ihr genau diese Pflicht-Label-Regel mit der Kyverno-CLI (kyverno apply) gegen zwei lokale Pod-Manifeste – eines ohne Label, eines mit. Im zweiten Hands-on prüft ihr dieselbe Regel, dieselben Manifeste, werkzeugunabhängig mit conftest gegen eine Rego-Regel (Open Policy Agent) – ohne Kyverno-spezifisches YAML-Pattern. Zum Abschluss ordnet ihr das Ergebnis exemplarisch in einen Bitbucket-Pipelines-Step ein – als Illustration, nicht als vollständige Plattformschulung zu einem produktiven CI-System. Explizit ohne Cluster: Kein Minikube, kein Admission-Webhook, kein kubectl apply in diesem Modul – beide Werkzeuge laufen als reine Kommandozeilen-Programme gegen YAML-Dateien auf der lokalen Festplatte.