1. 课程导论：平台门户与Calico准入策略的关系
在云原生平台门户（如Kubernetes Dashboard、Rancher、OpenShift Console或自研开发者平台）中，用户通常通过Web界面直接管理命名空间、工作负载和网络策略。然而，平台门户本身并不具备细粒度的网络准入控制能力——它无法阻止一个开发者在“允许”模式下创建一条允许所有入站流量的NetworkPolicy，也无法防止运维人员误删关键策略。
Calico作为业界领先的Kubernetes网络与安全策略引擎，提供了Admission Controller（准入控制器）机制，能够在资源创建、更新、删除时执行预定义的策略校验。将平台门户与Calico准入策略集成，意味着：
- 策略即代码：所有网络策略变更必须通过准入校验，避免人工误操作。
- 权限分层：平台门户用户只能在其授权范围内创建/修改策略，无法越权。
- 审计与合规：每次策略变更都会被记录，满足SOC2、PCI-DSS等合规要求。
核心观点： 平台门户是“操作入口”，Calico准入策略是“安全闸门”。两者集成后，用户通过门户提交的策略变更必须经过Calico准入控制器的校验，才能最终生效。
1.1 课程目标与受众
| 维度 | 说明 |
|---|---|
| 课程目标 | 掌握平台门户集成Calico准入策略的架构设计、权限模型、策略模板开发及生产级部署方案 |
| 核心受众 | 云原生安全架构师、Kubernetes平台工程师、DevSecOps工程师、SRE |
| 前置知识 | Kubernetes基础（Pod/Service/NetworkPolicy）、Calico基础安装、平台门户基本概念 |
| 学习产出 | 可落地的平台门户+Calico准入策略安全权限设计方案与代码模板 |
1.2 整体学习路径
本课程共30章，按“基础→设计→实现→加固→运营”五阶段递进：
- 基础篇（第1-5章）：Calico准入策略原理、平台门户权限模型、集成架构总览
- 设计篇（第6-12章）：策略模板设计、RBAC与Calico角色映射、多租户隔离方案
- 实现篇（第13-20章）：Admission Controller部署、Webhook开发、门户后端集成
- 加固篇（第21-26章）：策略冲突检测、变更审计、灾难恢复与回滚
- 运营篇（第27-30章）：监控告警、策略生命周期管理、生产案例复盘
学习建议： 建议在Kubernetes 1.28+、Calico v3.28+环境中跟随实操。每章末尾的“动手练习”环节是掌握准入策略的关键。
1.3 为什么需要集成？——三大核心痛点
| 痛点 | 无集成时的表现 | 集成后的改善 |
|---|---|---|
| 策略越权 | 普通用户可通过门户创建全局开放的NetworkPolicy | Calico准入策略限制策略作用域，仅允许在授权命名空间内操作 |
| 配置漂移 | 运维人员直接编辑Calico资源，绕过门户审计 | 所有变更必须经过Admission Controller，强制走门户流程 |
| 合规缺失 | 无策略变更记录，无法追溯“谁在何时改了哪条策略” | Calico准入控制器自动记录变更日志，支持审计回溯 |
常见误区： 不要认为“平台门户有RBAC就够了”。门户RBAC只能控制“能否点击按钮”，无法控制“点击后提交的策略内容是否安全”。Calico准入策略才是策略内容的安全守门员。
1.4 课程技术栈总览
- Kubernetes：1.28+，使用ValidatingAdmissionPolicy或MutatingAdmissionWebhook
- Calico：v3.28+，启用Admission Controller Bundle
- 平台门户：以自研门户为例，支持OpenAPI与Webhook回调
- 策略模板：使用Calico GlobalNetworkPolicy + StagedNetworkPolicy
- 审计存储：Elasticsearch + Kibana 或 对象存储