如何在Kubernetes CRD中正确配置oneOf验证规则

要实现parameters、policySpec、template三个字段互斥（只能指定其中一个），你需要将oneOf规则放在spec对象的层级下，配合required约束明确合法的字段组合。以下是修改后的完整schema：

openAPIV3Schema:
  type: object
  properties:
    spec:
      type: object
      properties:
        type:
          type: string
        parameters:
          type: array
          items:
            type: object
            properties:
              parameterName:
                type: string
              parameterValue:
                type: string
        policySpec:
          type: object
          properties:
            json:
              x-kubernetes-preserve-unknown-fields: true
              type: object
              description: this is arbitrary JSON
        template:
          type: string
      # 核心互斥校验规则
      oneOf:
        - required: ["parameters"]
        - required: ["policySpec"]
        - required: ["template"]
      # 可选：禁止未定义字段提交，提升校验严谨性
      additionalProperties: false

关键说明 #

1. oneOf的层级位置：必须和spec下的properties同级，这样才能对目标字段进行全局互斥校验，放在其他层级会导致规则不生效。
2. required约束：每个oneOf元素通过required指定当前合法的必填字段，确保用户只能选择其中一个字段提交，同时允许type字段始终存在（因为它不在oneOf的约束范围内）。
3. 版本兼容性：Kubernetes 1.20及以上版本原生支持OpenAPI v3的oneOf规则，如果你使用的是更早版本，需要升级集群，或者改用x-kubernetes-validations配合自定义表达式校验。
4. additionalProperties：添加这个配置可以防止用户提交schema中未定义的字段，进一步保证CR实例的合法性。

验证测试 #

配置完成后，你可以通过提交CR实例来测试：

• 仅包含parameters：合法
• 仅包含policySpec：合法
• 仅包含template：合法
• 同时包含parameters和template：会被API服务器拒绝，提示违反oneOf规则

内容的提问来源于stack exchange，提问作者Lahiru Udayanga