1. 云原生基线核验概述

1.1 什么是云原生运行基线

云原生运行基线（Cloud-Native Runtime Baseline）是指在 Kubernetes 及云原生生态中，为保障集群、工作负载及数据平面的稳定、安全与合规，所设定的一组最低可接受配置、策略与行为标准。它并非静态的配置文件，而是随业务需求、威胁模型与版本迭代持续演进的“黄金度量尺”。

典型的基线覆盖以下层次：

• 集群层：控制面组件版本、etcd 加密、API Server 审计日志启用状态。
• 节点层：容器运行时版本、内核参数、节点安全加固（如禁用 SSH 密码登录）。
• 工作负载层：Pod 安全上下文（runAsNonRoot、readOnlyRootFilesystem）、资源请求/限制、就绪探针配置。
• 网络层：网络策略（NetworkPolicy）覆盖率、服务网格 mTLS 启用率、Ingress TLS 终止。
• 数据层：持久卷加密、备份策略 RPO/RTO、存储类默认回收策略。

1.2 基线核验的重要性

在云原生环境中，配置漂移、策略绕过、版本退化是常态。基线核验的价值体现在三个层面：

1.3 核验的三大维度：安全、性能、合规

我们将云原生基线核验归纳为三个相互独立又彼此关联的维度。每个维度都有明确的检查项与判定标准。

1.3.1 安全基线（Security Baseline）

• Pod 安全标准：强制实施 Pod Security Admission（PSA）的 baseline 或 restricted 模式。
• 镜像安全：镜像签名验证（Cosign）、漏洞扫描（Trivy）、禁止使用 latest 标签。
• 网络隔离：默认拒绝所有入站流量，仅允许显式定义的 NetworkPolicy。
• 密钥管理：Secrets 静态加密、禁止将 Secret 明文写入环境变量。

1.3.2 性能基线（Performance Baseline）

• 资源配额：每个 Namespace 设置 ResourceQuota，每个容器设置 requests 与 limits。
• 弹性效率：HPA 配置率 ≥ 90%，VPA 推荐与实际分配偏差 ≤ 15%。
• 启动延迟：Pod 就绪时间（从创建到 Ready）P99 ≤ 5s（Java 应用可放宽至 30s）。
• 集群饱和度：节点 CPU 分配率 ≤ 80%，内存分配率 ≤ 85%，避免过载。

1.3.3 合规基线（Compliance Baseline）

• 审计日志：API Server 审计日志必须启用并归档至对象存储，保留期 ≥ 180 天。
• 数据主权：PV 存储类指定 region，禁止跨域数据流动。
• 供应链溯源：每个镜像必须携带 SBOM（软件物料清单）并关联构建流水线 ID。
• 策略即代码：OPA/Gatekeeper 约束模板覆盖率 ≥ 95%，拒绝违反策略的变更。

1.4 基线核验的典型流程

在实际运维中，基线核验通常遵循以下步骤：

1. 定义基线模板：使用 YAML/JSON 或 Rego 策略描述期望状态。
2. 自动化采集：通过 Prometheus、Kubernetes Audit Logs、kube-bench 等工具获取实时数据。
3. 差异分析：将实际状态与基线对比，生成差异报告（Diff Report）。
4. 分级告警：Critical 级别（如 root 容器）立即阻断；Warning 级别（如缺少资源限制）发送通知。
5. 修复与验证：自动修复（如通过 Kyverno mutate）或人工介入，修复后重新核验。