Kyverno 1.10.3中application-console命名空间pdb_count取值失败求助

核心原因分析 #

你的问题出在Kyverno策略中匹配PDB的JMESPath表达式逻辑上：

• 官网默认策略采用严格对象相等匹配（spec.selector.matchLabels == request.object.spec.selector.matchLabels），但Kubernetes标签是无序键值对，当Deployment与PDB的标签顺序不一致、或PDB选择器仅包含Deployment部分标签时，会导致匹配失败，返回空结果甚至nil。
• 日志中的Invalid type for: <nil>错误，是因为JMESPath筛选后未得到预期的对象数组，后续长度计算无法处理空值。

排查步骤 #

1. 验证标签匹配逻辑
   执行命令获取目标Deployment和PDB的选择器配置：

   kubectl get deployment <你的Deployment名称> -n application-console -o jsonpath='{.spec.selector.matchLabels}'
   kubectl get pdb <你的PDB名称> -n application-console -o jsonpath='{.spec.selector.matchLabels}'
   

   对比两者的标签键值对：

   • 若标签顺序不一致：默认策略的严格对象匹配会失败；
   • 若PDB仅包含Deployment的部分标签：默认策略会判定不匹配。

2. 测试JMESPath表达式
   导出该命名空间下所有PDB为JSON，手动验证筛选逻辑：

   kubectl get pdb -n application-console -o json > pdb.json
   

   使用JMESPath工具测试默认表达式（替换{deployment_labels}为你的Deployment标签对象）：

   jp "[?spec.selector.matchLabels == {deployment_labels}] | length(@)" pdb.json
   

   如果返回0或报错，说明表达式无法匹配目标PDB。

解决方案 #

修改Kyverno策略中pdb_count变量的JMESPath表达式，改为检查PDB选择器包含Deployment的所有标签（而非严格对象相等），适配多标签、无序标签场景：

修改后的策略变量示例 #

variables:
  - name: pdb_count
    value: "{{ request.object.metadata.namespace | get('PodDisruptionBudget', '') | jmespath('[?every(k in keys(request.object.spec.selector.matchLabels), spec.selector.matchLabels[k] == request.object.spec.selector.matchLabels[k])] | length(@)') }}"

关键改进说明 #

• 使用every(k in keys(request.object.spec.selector.matchLabels), ...)遍历Deployment的所有标签键，逐个验证PDB的标签值是否匹配；
• 不再依赖标签顺序，只要PDB包含Deployment的所有选择器标签且值一致，就会被计数。

额外建议 #

• 若Kyverno 1.10.3版本不支持every JMESPath函数，建议升级到Kyverno 1.11+版本（该版本对复杂JMESPath表达式的兼容性更好）；
• 若Deployment使用matchExpressions而非matchLabels，需扩展策略逻辑以同时处理两种选择器格式。

内容的提问来源于stack exchange，提问作者Abderrahmane