1. 课程导论：平台门户与 Kyverno 准入策略性能基准测试的背景与目标
1.1 为什么需要关注准入策略的性能？
在云原生平台门户（Platform Portal）的建设中，Kubernetes 集群通常承载着数百甚至数千个微服务。为了保证安全合规，平台团队会通过 Kyverno 等准入控制器对资源创建、更新请求进行策略校验。然而，随着策略数量的增长和集群规模的扩大，准入策略的执行延迟会直接影响用户的部署体验和 CI/CD 流水线的效率。
核心痛点： 一个未经性能优化的 Kyverno 策略链，可能将 Pod 创建延迟从毫秒级推高到秒级，导致平台用户频繁超时、流水线失败，甚至引发集群控制平面过载。
本课程旨在通过系统化的性能基准测试方法，帮助平台团队量化 Kyverno 准入策略的性能影响，找到瓶颈，并制定优化策略。
1.2 平台门户下的准入控制架构
下图展示了平台门户中 Kyverno 作为动态准入控制器的典型位置与数据流。理解这一架构是进行性能基准测试的前提。
1.3 性能基准测试的目标
本课程的性能基准测试围绕以下三个核心目标展开：
| 目标维度 | 具体描述 | 关键指标 |
|---|---|---|
| 延迟 | 测量 Kyverno 处理单个准入请求所消耗的时间，包括策略匹配、执行和响应返回。 | P50 / P95 / P99 延迟（毫秒） |
| 吞吐量 | 评估 Kyverno 在单位时间内能够处理的准入请求数量，反映系统的并发处理能力。 | 每秒请求数（RPS） |
| 资源消耗 | 监控 Kyverno 组件在负载下的 CPU、内存使用情况，评估策略执行对集群资源的占用。 | CPU 使用率（m）、内存使用量（MiB） |
1.4 测试范围与策略类型
为了贴近真实平台门户场景，本次基准测试将覆盖以下典型的 Kyverno 策略类型：
- 验证策略（Validate）： 检查资源字段是否符合规范，例如强制要求所有 Pod 设置资源限制（resources.limits）。
- 变更策略（Mutate）： 自动修改资源请求，例如为未指定镜像拉取策略的 Pod 添加
imagePullPolicy: IfNotPresent。 - 生成策略（Generate）： 基于资源创建自动生成其他资源，例如为每个 Namespace 生成默认的 NetworkPolicy。
- 镜像验证策略（ImageVerify）： 对容器镜像的签名和来源进行校验，确保供应链安全。
测试策略： 我们将从单一策略的基准测试开始，逐步增加策略数量和复杂度，模拟平台门户中策略组合叠加的真实场景。
1.5 课程核心内容概览
本课程共分为 30 个章节，涵盖从环境搭建、测试设计、执行分析到优化建议的全流程。下表列出了前五个关键模块：
| 模块 | 章节范围 | 核心内容 |
|---|---|---|
| 基础与环境 | 第 1 - 5 章 | 课程导论、测试环境搭建（K3s / Kind）、Kyverno 安装与配置、性能监控工具链（Prometheus + Grafana）部署。 |
| 测试设计与工具 | 第 6 - 10 章 | 性能基准测试方法论、测试用例设计、使用 kubectl-bench 和 vegeta 生成准入负载。 |
| 执行与数据采集 | 第 11 - 18 章 | 单一策略测试、策略链测试、并发场景测试、数据采集与清洗。 |
| 分析与瓶颈定位 | 第 19 - 25 章 | 延迟分布分析、资源瓶颈定位、策略引擎内部耗时拆解、缓存命中率分析。 |
| 优化与最佳实践 | 第 26 - 30 章 | 策略编写优化、预编译与缓存、水平扩展、平台门户集成建议。 |
1.6 预期收益
完成本课程后，你将能够：
- 独立搭建一套可复用的 Kyverno 性能基准测试环境。
- 设计并执行针对不同策略类型的性能测试用例。
- 通过指标分析精准定位性能瓶颈（如策略引擎 CPU 瓶颈、API Server 限流、etcd 延迟等）。
- 制定并实施有效的性能优化方案，确保平台门户的准入控制既安全又高效。
前置要求： 建议学习者具备基本的 Kubernetes 集群操作经验（kubectl、Pod、Deployment），了解 Kyverno 策略的基本语法。无需深入的性能测试背景，课程将从基础概念讲起。