您可以使用Kubernetes原生策略引擎Kyverno：
Kyverno在Kubernetes集群中作为动态准入控制器运行。Kyverno从kube-apiserver接收验证和变更准入webhook HTTP回调，并应用匹配策略返回执行准入策略或拒绝请求的结果。
Kyverno策略是可以应用于整个集群（ClusterPolicy）或特定命名空间（Policy）的规则集合。
我将创建一个示例来说明它是如何工作的。
首先，我们需要安装Kyverno，您可以选择直接从最新版本清单安装Kyverno，或者使用Helm（请参阅：快速入门指南）：

$ kubectl create -f https://raw.githubusercontent.com/kyverno/kyverno/main/definitions/release/install.yaml

字符串
安装成功后，让我们创建一个简单的ClusterPolicy：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: labeling-policy
spec:
  validationFailureAction: enforce
  background: false
  rules:
  - name: deny-rule
    match:
      resources:
        kinds:
        - Pod
    exclude:
      clusterRoles:
      - cluster-admin
    preconditions:
      - key: "{{request.object.metadata.labels.purpose}}"
        operator: Equals
        value: "*"
    validate:
      message: "Using purpose label is not allowed for you"
      deny: {}

型
在上面的示例中，只有使用cluster-adminClusterRole才能修改标签为purpose的Pod。
假设我有两个用户（john和dave），但只有john通过ClusterRoleBinding链接到cluster-adminClusterRole：

$ kubectl describe clusterrolebinding john-binding
Name:         john-binding
Labels:       <none>
Annotations:  <none>
Role:
  Kind:  ClusterRole
  Name:  cluster-admin
Subjects:
  Kind  Name  Namespace
  ----  ----  ---------
  User  john

型
最后，我们可以测试它是否按预期工作：

$ kubectl run test-john --image=nginx --labels purpose=test --as john
pod/test-john created

$ kubectl run test-dave --image=nginx --labels purpose=test --as dave
Error from server: admission webhook "validate.kyverno.svc" denied the request:

resource Pod/default/test-dave was blocked due to the following policies

labeling-policy:
  deny-rule: Using purpose label is not allowed for you

$ kubectl get pods --show-labels
NAME        READY   STATUS    RESTARTS   AGE   LABELS
test-john   1/1     Running   0          32s   purpose=test

型
更多详细解释的例子可以在Kyverno Writing Policies documentation中找到。