如何禁止Helm Chart安装至default命名空间？

一、在Helm Chart模板中内置校验（推荐） #

这是最直接的方案，将校验逻辑封装在Chart内部，无需依赖集群额外配置，就能确保Chart不会被安装到default命名空间。

基础实现：直接校验命名空间 #

在Chart的任意模板文件（推荐放在templates/_helpers.tpl，或者核心资源模板如deployment.yaml的开头）添加以下逻辑：

{{- if eq .Release.Namespace "default" }}
{{- fail "该Chart禁止安装在default命名空间，请指定其他命名空间后重试" }}
{{- end }}

验证效果：

• 执行helm install test-chart myChart.tgz（默认使用default命名空间）时，Helm会立即抛出错误并终止安装流程。
• 执行helm install test-chart myChart.tgz -n test-namespace时，校验通过，正常完成安装。

灵活扩展：配置允许的命名空间列表 #

如果需要支持自定义允许的命名空间范围，可先在values.yaml中添加配置项：

# values.yaml
allowedNamespaces:
  - test-namespace
  - prod-namespace

然后在模板中添加校验逻辑：

{{- if not (has .Release.Namespace .Values.allowedNamespaces) }}
{{- fail (print "该Chart仅允许安装在以下命名空间：" (join ", " .Values.allowedNamespaces)) }}
{{- end }}

二、集群层面配置准入控制策略 #

如果需要全局管控这类规则，或者不想修改Chart代码，可以通过Kubernetes原生的准入控制机制或第三方工具实现。

原生Validating Admission Policy（K8S 1.26+） #

创建验证策略及绑定，拦截所有试图在default命名空间创建的目标资源：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingAdmissionPolicy
metadata:
  name: deny-default-namespace-helm-apps
spec:
  failurePolicy: Fail
  matchConstraints:
    resourceRules:
    - apiGroups: ["apps"]
      apiVersions: ["v1"]
      operations: ["CREATE"]
      resources: ["deployments", "statefulsets"]
  validations:
  - expression: "object.metadata.namespace != 'default'"
    message: "禁止在default命名空间安装该应用"
---
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingAdmissionPolicyBinding
metadata:
  name: deny-default-namespace-helm-apps-binding
spec:
  policyName: deny-default-namespace-helm-apps
  matchResources:
    # 可添加labelSelector匹配特定Chart的资源，比如只拦截label为chart=my-chart的资源
    # labelSelector:
    #   matchLabels:
    #     chart: my-chart

说明：如果要精确匹配Helm发布的资源，可以通过Pod或Deployment的app.kubernetes.io/name标签过滤，只针对目标Chart生效。

第三方工具（如Kyverno） #

用Kyverno创建ClusterPolicy，实现同样的拦截效果：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: deny-default-namespace
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-namespace
    match:
      any:
      - resources:
          kinds:
            - Deployment
            - Pod
    validate:
      message: "禁止在default命名空间安装该应用"
      pattern:
        metadata:
          namespace: "!default"

三、Pod注解无法实现该需求 #

Pod注解仅作为Pod资源的元数据附加信息，不会影响Helm的安装流程，也无法阻止Pod被创建到default命名空间，因此这种方式完全不可行。

内容的提问来源于stack exchange，提问作者郭佰胜