1. 控制平面概述
在分布式系统与云原生架构中，控制平面（Control Plane）是负责系统全局决策与状态管理的核心逻辑层。它不直接处理用户请求或业务数据，而是通过持续的观测、决策与下发指令，确保整个集群或分布式系统按照预期状态运行。理解控制平面的定义、角色及其与数据平面的区别，是掌握准入策略接口调用实践的前提。
1.1 控制平面的定义
控制平面是分布式系统中做出决策的部分。它维护系统的期望状态，并通过一系列组件（如控制器、调度器、准入控制器）来驱动实际状态向期望状态收敛。控制平面通常具备以下特征：
- 全局视角：拥有集群或系统的完整视图，能够基于全局信息做出最优决策。
- 状态驱动：基于声明式状态管理，持续对比“期望状态”与“实际状态”，并执行调和操作。
- 非用户路径：不直接参与用户请求的实时处理，其操作通常发生在后台或异步执行。
- 高可用与一致性：通常通过多副本、领导者选举和分布式共识算法（如 Raft）来保证自身的高可用与数据一致性。
关键概念： 控制平面是系统的“大脑”，负责决策与协调；数据平面是系统的“四肢”，负责执行与转发。
1.2 控制平面在分布式系统中的角色
控制平面在分布式系统中扮演着多重关键角色，这些角色共同保障系统的稳定性、安全性与可管理性：
| 角色 | 职责描述 | 典型组件示例 |
|---|---|---|
| 状态管理 | 维护集群的期望状态（如部署副本数、服务配置），并持续调和实际状态。 | Kubernetes Controller Manager、Etcd |
| 资源调度 | 根据资源可用性、约束条件和策略，将工作负载分配到最合适的节点。 | Kubernetes Scheduler |
| 策略执行 | 在资源创建、更新或删除前，通过准入控制机制验证并强制实施安全、合规与治理策略。 | Admission Controller、OPA Gatekeeper |
| 服务发现与配置 | 提供服务注册、发现功能，并动态下发配置更新到数据平面组件。 | CoreDNS、ConfigMap、Service |
| 安全与认证 | 管理身份认证、授权策略（RBAC）、证书签发与密钥轮换。 | Kubernetes API Server、Cert-Manager |
在准入策略的上下文中，控制平面是策略的定义者、存储者和执行者。它负责接收用户请求，在请求持久化之前调用准入控制链，根据预定义的策略规则进行校验，并决定是允许还是拒绝该请求。
1.3 控制平面与数据平面的区别
控制平面与数据平面是分布式架构中两个核心但又截然不同的逻辑层。理解它们的区别对于设计可扩展、高可用的系统至关重要。以下从多个维度进行对比：
| 对比维度 | 控制平面 | 数据平面 |
|---|---|---|
| 核心职责 | 决策、协调、状态管理 | 数据转发、请求处理、业务逻辑执行 |
| 处理对象 | 配置、策略、状态变更事件 | 用户请求、数据包、业务数据流 |
| 性能要求 | 中等，更关注一致性与正确性 | 极高，关注吞吐量、延迟与并发 |
| 扩展方式 | 通常为有状态扩展，依赖共识算法 | 通常为无状态扩展，可水平弹性伸缩 |
| 故障影响 | 导致系统无法变更或调度，但已有业务可能继续运行 | 直接导致用户请求失败或服务中断 |
| 典型组件 | API Server、Scheduler、Controller、Etcd | Envoy Proxy、Kube-Proxy、业务微服务 |
架构启示： 在云原生架构中，控制平面与数据平面的分离是一种关键设计模式。它允许控制平面以较低的频率进行复杂的策略计算和状态协调，而数据平面则以极高的效率执行简单的转发或处理逻辑。这种分离提升了系统的整体弹性与可维护性。
1.4 控制平面架构示意图
下图展示了控制平面在分布式系统中的核心位置及其与数据平面、外部用户/运维人员的交互关系：
1.5 准入策略在控制平面中的位置
准入策略是控制平面中策略执行角色的具体实现。它通常以准入控制器（Admission Controller）的形式存在，作为 API Server 处理链中的一个关键拦截点。当用户通过 kubectl 或 API 发起资源变更请求（如创建 Pod、更新 Deployment）时，请求会依次经过以下阶段：
- 认证与授权：验证请求者身份，并检查其是否具备操作权限。
- 准入控制链：请求被发送到一系列配置好的准入控制器，包括变更（Mutating）和验证（Validating）两类。
- 持久化：通过所有准入控制器的请求最终被写入 Etcd 状态存储。
注意： 准入控制器是控制平面中最后一道程序化防线。一旦请求通过准入控制链并持久化，数据平面将直接基于该状态运行。因此，准入策略的正确性与健壮性直接关系到整个集群的安全与稳定。