Was der API-Server selbst kann
ValidatingAdmissionPolicy: GA seit K8s 1.30. MutatingAdmissionPolicy: GA seit K8s 1.36.
CEL läuft in-process im kube-apiserver: keine Webhooks, keine Zertifikate, keine Verfügbarkeits-Abhängigkeit von einem Policy-Deployment.
Was Kyverno darüber legt
Background-Scans auf Bestandsressourcen, PolicyReports, PolicyExceptions, generate/cleanup, Image-Signatur-Verifikation, JSON-Mode, Autogen.
ValidatingPolicy ist ein Superset
der VAP und generiert via
spec.autogen.validatingAdmissionPolicy.enabled: true
eine native VAP, die im API-Server läuft
(Flag generateValidatingAdmissionPolicy, Default an).
MutatingPolicy analog per
spec.autogen.mutatingAdmissionPolicy.enabled, Flag
generateMutatingAdmissionPolicy (Default aus), MAP
v1 ab K8s 1.36 seit Kyverno 1.19 (K8s 1.36 liegt außerhalb
der offiziellen Testmatrix). Kyverno als Management-Layer,
Enforcement ohne Webhook-Hop.