1. 云原生安全基线概述：定义、重要性、在 Kubernetes 环境中的挑战

1.1 什么是云原生安全基线

云原生安全基线是一组预先定义好的、可量化的安全配置与运行约束集合，用于确保 Kubernetes 集群及在其上运行的容器化工作负载在默认状态下满足最低安全要求。它不是一次性的安全审计清单，而是持续核验的“安全运行底线”。

1.2 为什么需要安全基线

在传统 IT 环境中，安全策略通常依赖人工巡检和边界防火墙。但在 Kubernetes 这类动态、声明式、多租户的平台上，安全基线的作用体现在以下三个维度：

1.3 Kubernetes 环境中的安全基线挑战

在 Kubernetes 中推行安全基线面临以下五个核心挑战，这些挑战直接决定了基线核验工具（如 Argo CD + 观测标签体系）的设计方向：

1. 动态性导致基线漂移难以追踪 —— Deployment、ConfigMap、RBAC 等资源频繁更新，手动比对基线几乎不可能。
2. 多租户与权限扩散 —— 命名空间隔离不彻底、ServiceAccount 权限过大、ClusterRole 滥用，基线难以统一覆盖。
3. 镜像与供应链安全 —— 基础镜像漏洞、非签名镜像、运行时未知进程，基线需要覆盖从构建到运行的全链路。
4. 网络策略缺失或过于宽松 —— 默认允许所有 Pod 间通信，缺乏细粒度的 NetworkPolicy 基线。
5. 观测与告警割裂 —— 安全事件分散在多个组件（kube-apiserver、容器运行时、审计日志），缺乏统一的基线核验视图。

1.4 安全基线核验的典型范围

一个完整的云原生安全基线核验场景通常覆盖以下六大领域。下表列出了每个领域的核验对象与基线示例：

1.5 安全基线核验与 GitOps 的关联

GitOps 工具（如 Argo CD）以声明式配置和持续同步为核心，天然适合承载安全基线的“期望状态”。但传统 GitOps 只关注“应用是否部署成功”，不关注“部署后的安全状态是否合规”。这正是本课程要解决的问题——通过构建 Argo CD 观测标签体系，将安全基线核验结果以标签、指标、事件的形式注入 Argo CD 的应用状态面板，实现“部署即核验、核验即可见”。

1.6 基线核验的持续运行模型

安全基线不是静态文档，而是一个持续运行的闭环。下图展示了基线从定义到核验再到修复的完整流程：

1. 定义阶段：将安全基线编写为 Kubernetes 策略代码（如 OPA/Gatekeeper 约束、Kyverno 策略、自定义 CRD）。
2. 注入阶段：通过 GitOps 流水线将基线策略同步到集群，并与 Argo CD Application 关联。
3. 核验阶段：实时或定时扫描集群资源状态，对比基线期望值，生成合规/不合规标签。
4. 观测阶段：Argo CD 通过观测标签体系展示每个应用的安全健康度，支持告警与可视化。
5. 修复阶段：不合规资源通过 GitOps 回滚或自动修复策略恢复至基线状态。