KubeEye 由 KubeSphere 社区维护，通过 ClusterInsight 等 CR 触发巡检 Job，输出结构化报告供 DevSecOps 流水线消费。镜像设计为 in-cluster Controller + Job 模式，不能用独立 docker run 替代完整安装；需预先 apply CRD、RBAC 与 ConfigMap 规则集。与 kube-bench 单次 CLI 不同，KubeEye 强调持续合规与可扩展 OPA 规则。

快速启动

docker run --rm docker.io/kubesphere/kubeeye:latest \
  kubeeye --help

推荐实践

# 集群内安装（非 docker run）：
kubectl apply -f https://raw.githubusercontent.com/kubesphere/kubeeye/main/deploy/kubeeye.yaml
kubectl create -f cluster-insight.yaml

核心参数说明

• K8s 专用 — Controller 需 in-cluster ServiceAccount
• ClusterInsight CR — 声明巡检范围与规则版本
• ConfigMap — 挂载 CIS 与自定义 Rego/OPA 规则
• Job 模式 — 每次巡检 spawn 短期 Pod 执行检查
• 固定 tag — 与 CRD API 版本及规则 schema 对齐