1. 课程导论：平台门户集成 Cilium准入策略的背景、目标与整体课程大纲概览
1.1 课程背景：为什么需要平台门户集成准入策略？
在云原生技术栈中，Kubernetes 已成为事实上的容器编排标准，而 Cilium 凭借 eBPF 技术的深度整合，提供了超越传统网络插件的安全可观测性与网络策略执行能力。然而，在企业级多租户平台门户（如 KubeSphere、Rancher、自研控制台）中，Cilium 的准入策略（CiliumNetworkPolicy / CiliumClusterwideNetworkPolicy）往往面临以下核心痛点：
- 策略碎片化：开发团队通过 YAML 直接下发策略，缺乏统一的版本管理与审批流。
- 租户隔离缺失：平台门户的租户模型与 Cilium 的标签选择器（Label Selector）之间存在语义鸿沟，导致策略越权或遗漏。
- 策略验证困难：策略变更后无法在平台侧快速进行“预检”，容易引发生产级联故障。
- 审计与合规盲区：缺少从“平台用户操作”到“Cilium 策略生效”的全链路可观测性。
核心矛盾：平台门户的“声明式租户管理”与 Cilium 的“标签式网络策略”之间，需要一层适配层来完成策略的移植、校验与自动化注入。
1.2 课程目标：从“能用”到“好用”的策略治理
本课程旨在帮助平台架构师与安全运维人员，掌握一套完整的 平台门户集成 Cilium 准入策略移植适配与验证 方法论。具体目标包括：
| 目标维度 | 具体描述 | 交付物 |
|---|---|---|
| 策略移植 | 将平台门户的租户/项目/空间模型，自动映射为 Cilium 可识别的标签与端点选择器。 | 策略映射模板 + 适配器代码 |
| 准入控制 | 利用 Cilium 的 ValidatingAdmissionPolicy 或外部 Webhook，在策略生效前完成语法、语义与冲突检测。 | 准入校验规则集 |
| 可视化验证 | 在平台门户内集成策略模拟沙箱，验证策略变更对现有流量的影响。 | 验证报告生成器 |
| 审计闭环 | 记录每次策略变更的“谁、何时、何对象、何操作”，并关联 Cilium 的 Hubble 事件流。 | 审计日志链路 |
1.3 整体课程大纲概览
本课程共分为 6 个模块，30 个章节，从基础概念到生产落地，层层递进：
- 基础篇（第 1-5 章）：Cilium 网络策略核心概念、平台门户租户模型分析、策略移植的挑战与设计原则。
- 适配篇（第 6-12 章）：标签映射引擎开发、策略模板化与参数化、多集群策略同步机制。
- 准入篇（第 13-19 章）：ValidatingAdmissionPolicy 编写、自定义 Webhook 开发、策略冲突检测算法。
- 验证篇（第 20-24 章）：策略模拟沙箱设计、基于 Hubble 的流量回放验证、策略覆盖率分析。
- 集成篇（第 25-28 章）：平台门户 API 集成、策略审批流设计、审计日志与告警联动。
- 实战篇（第 29-30 章）：端到端案例：从零构建多租户策略治理平台 + 故障演练与回滚。
学习建议：建议学员先完成“基础篇”的动手实验，再进入“适配篇”的代码开发环节。每章末尾均提供可执行的代码片段与验证脚本。
1.4 核心架构：平台门户与 Cilium 策略适配层
下图展示了本课程将要构建的核心架构——策略适配中间层，它位于平台门户与 Cilium 集群之间，负责完成策略的“翻译、校验、注入与观测”。
1.5 课程适用人群与前置知识
| 角色 | 前置要求 | 本课程价值 |
|---|---|---|
| Kubernetes 平台架构师 | 熟悉 K8s 资源模型、RBAC、Operator 模式 | 掌握平台级策略治理框架设计 |
| 云原生安全工程师 | 了解 Cilium 网络策略、eBPF 基础 | 学会策略准入校验与冲突检测实战 |
| 平台门户开发者 | 有 REST API 与 Webhook 开发经验 | 能独立完成策略适配层编码与集成 |
| 运维/DevOps 工程师 | 具备 K8s 集群运维与 Helm 部署经验 | 掌握策略验证沙箱与审计链路搭建 |
注意：本课程不从头讲解 Cilium 安装或 eBPF 原理，但会在每章提供必要的背景链接。建议学员提前准备一个至少 3 节点的 K8s 集群（v1.28+）并安装 Cilium 1.15+。