Timeweb Cloud добавил Kyverno и обновил поддерживаемые версии Kubernetes

Timeweb Cloud добавил в управляемый Kubernetes аддон Kyverno и обновил доступные патч-версии трёх веток k0s. Kyverno позволяет описывать правила для ресурсов Kubernetes декларативно, без разработки отдельных admission webhooks.

Что даёт policy-as-code

Политика может проверять объект перед созданием, изменять его по заданному правилу или генерировать связанный ресурс. На практике это помогает требовать ограничения CPU и памяти, запрещать привилегированные контейнеры, проверять допустимые registry и добавлять стандартные метки.

Ценность появляется не от самого числа политик, а от воспроизводимости. Правила хранятся в системе контроля версий, проходят review и одинаково применяются к нескольким кластерам. Нарушение можно увидеть до того, как ручная настройка превратится в постоянный drift.

Патч-обновления

Провайдер сообщил о переходе на Kubernetes 1.36.4+k0s.0, 1.35.8+k0s.0 и 1.34.11+k0s.0. Патч-релиз не стоит считать автоматической гарантией совместимости: перед обновлением нужно проверить API, admission-порядок, сетевые компоненты, CSI-драйверы, операторы и собственные контроллеры.

Как внедрять правила безопасно

Начинать лучше с режима аудита и небольшого набора проверок с низким риском ложного срабатывания. Затем команда измеряет нарушения, добавляет понятные сообщения об ошибках и только после исправления существующих ресурсов переводит правило в блокирующий режим.

Для аварийного изменения нужен документированный break-glass процесс. Он не должен превращаться в постоянное исключение: каждое обходное решение получает владельца, ограниченный срок и последующую проверку.

Журнал обновлений подтверждает наличие аддона и версии кластера, но не раскрывает здесь версию Kyverno, параметры высокой доступности и порядок обновления самого аддона. Их следует уточнить перед производственным внедрением.

Источник: официальный журнал обновлений Timeweb Cloud от 10 сентября 2026 года.