Was du nicht tun solltest
Neue Policies als ClusterPolicy: offiziell deprecated seit 1.19, fällt mit 1.20 weg, Neues gehört in die CEL-Typen.
Enforce ohne Audit-Phase: neue Policies erst im Audit-Modus fahren, PolicyReports lesen, dann auf Deny/Enforce drehen.
Pauschal fail-open: Ignore
überall hebelt Security-Policies bei jedem Kyverno-Ausfall
aus.
Wildcard-Matches: jede Admission geht durch den Webhook, Latenz auf jedem API-Call, maximaler Blast-Radius bei Ausfall.
Exceptions ohne Governance: wer
PolicyExceptions erstellen darf, hebelt Policies aus,
exceptionNamespace + RBAC + Review-Pflicht.
Namespaced Policies als Tenant-Self-Service:
apiCall, generate und mutateExisting aus
Policy und Namespaced*Policy laufen mit
den Rechten der Kyverno-ServiceAccounts. 2026 gab es dafür
zwei Critical-Advisories (CVE-2026-54523, GHSA-5qq8-67g6-4h2w).
Create-Rechte nur für das Plattform-Team bzw. per
GitOps-Review.
Kyverno neben andere Workloads: dedizierter
Namespace ist Vorgabe der Doku, nie nach
kube-system deployen.