Políticas de admisión en el despliegue

Una política de admisión es una regla que el clúster evalúa cuando se crea o modifica un objeto. En Kyverno, el modo de una regla de validación es Enforce (rechaza el objeto que la incumple) o Audit (lo deja pasar y anota el incumplimiento en el informe de políticas). Una política en Audit es útil para medir el impacto antes de bloquear, y peligrosa cuando se queda así para siempre: da una falsa sensación de control.

En el repositorio de Ulmo hay tres políticas, y no todas hacen lo mismo. Para saber cuáles protegen de verdad hay que leer el modo en cada archivo, no el nombre. Abre la carpeta politicas.

Las políticas suelen llevar exclusiones: namespaces o recursos que no se evalúan. Algunas son legítimas (el propio sistema); otras son una puerta de servicio que nadie volvió a mirar. La política de registro propio exige que toda imagen venga del registro de la empresa, pero lleva una exclusión.

La política nativa ValidatingAdmissionPolicy define la regla; un binding la aplica a un conjunto de namespaces y decide la acción: Deny bloquea, Warn avisa y Audit anota. Lo que cuenta es lo que el binding selecciona, no el nombre que lleva: un binding llamado «prod» puede estar apuntando a otro namespace.

El informe de políticas (PolicyReport) lista, por recurso, si pasó o falló cada política, también las que están en Audit. Es la fuente para saber cuánta deuda hay antes de pasar una política a Enforce: si se activara hoy, esos recursos serían rechazados en su próximo despliegue.