1. 课程导论：控制平面驱动 Calico 准入策略的背景、课程目标与学习路径

1.1 为什么需要控制平面驱动的准入策略？

在 Kubernetes 生产环境中，网络策略（NetworkPolicy）是保障微服务间通信安全的核心手段。然而，原生 Kubernetes NetworkPolicy 存在明显的局限性：

• 策略粒度粗：仅支持 IP、端口、标签选择器，无法感知 HTTP 方法、路径、JWT 等应用层信息。
• 运维复杂度高：大规模集群中，策略数量激增，人工审计与排错困难。
• 缺乏动态性：策略变更后，生效延迟不可控，无法满足实时准入需求。

Calico 作为业界领先的 Kubernetes 网络与安全方案，通过其 控制平面驱动（Control Plane Driven） 的准入策略引擎，将策略决策点从数据面迁移至控制面，实现了更灵活、更细粒度的流量准入控制。本课程将深入剖析这一架构的核心原理、接口调用方式与性能调优方法。

1.2 课程目标

完成本课程后，你将能够：

1.3 学习路径与知识体系

本课程采用“基础 → 接口 → 调优 → 实战”的递进式结构。下图展示了完整的知识体系与章节依赖关系：

1.4 课程特色与前置知识

本课程面向有一定 Kubernetes 使用经验的运维、开发与架构师。建议具备以下前置知识：

• 熟悉 Kubernetes 核心概念（Pod、Service、Namespace、NetworkPolicy）。
• 了解 Calico 基本安装与配置（Felix、BIRD、Typha）。
• 具备基本的 Go 或 Python 编程能力（用于接口调用实验）。

1.5 课程内容概览

1.6 一个典型的控制平面准入场景

为了让你快速建立直观认识，下面展示一个典型的控制平面驱动准入策略的调用流程：

这个流程展示了控制平面如何将策略决策与数据面执行解耦。在后续章节中，我们将逐一拆解每个组件的接口细节与性能瓶颈。