1. 课程导论：eBPF技术背景、租户隔离的挑战、准入控制与流量可视化的关系

1.1 eBPF 技术背景：从内核可观测性到云原生安全

eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，允许用户在无需修改内核源码或加载内核模块的情况下，安全、高效地注入自定义程序。其核心机制通过内核虚拟机（BPF Verifier & JIT Compiler）确保注入代码的安全性，并借助 Map 结构实现内核与用户态的数据交换。

在云原生环境中，eBPF 已成为基础设施层可观测性与安全性的关键技术底座。其典型应用场景包括：

• 网络流量可视化：通过 XDP（eXpress Data Path）和 TC（Traffic Control）钩子，零侵入采集 Pod 间通信的 L3/L4 甚至 L7 元数据。
• 运行时安全审计：挂载 Tracepoint 或 Kprobe，监控系统调用、文件访问、进程创建等敏感行为。
• 性能诊断与拓扑发现：自动生成服务依赖图，识别延迟瓶颈与异常连接。

1.2 租户隔离的挑战：多租户场景下的安全边界困境

在 Kubernetes 多租户集群中，租户隔离面临从“网络层”到“数据层”的多维度挑战。传统基于 Namespace 和 NetworkPolicy 的隔离模型在动态、高密度部署场景下暴露出明显短板：

上述挑战的核心矛盾在于：安全策略的执行点与流量发生的实际位置之间存在鸿沟。传统方案在用户态代理层做决策，而真正的数据包已经在内核态完成了转发。

1.3 准入控制与流量可视化的关系：策略驱动的闭环

准入控制（Admission Control）是 Kubernetes API Server 在处理资源请求（如 Pod 创建、Service 更新）时的一组可插拔拦截器。它能在资源持久化之前，对请求进行校验、修改或拒绝。在本课程中，我们将准入控制视为 “策略的源头”，而流量可视化则是 “策略执行效果的反馈”。

两者之间的关系可以概括为以下闭环流程：

1. 策略注入：通过准入控制器（如 ValidatingAdmissionWebhook / MutatingAdmissionWebhook）在 Pod 创建时注入 eBPF 安全标签或流量过滤规则。
2. 内核执行：eBPF 程序根据注入的标签，在 XDP/TC 钩子点对进出流量进行匹配、标记或阻断。
3. 数据采集：eBPF 程序将流量元数据（源/目的 IP、端口、协议、进程 PID、标签）写入 BPF Map。
4. 可视化反馈：用户态组件从 BPF Map 读取数据，生成租户维度的流量拓扑图，并回传给控制平面。
5. 策略调优：安全运维人员根据可视化结果，调整准入控制策略，形成持续优化的安全基线。

1.4 课程核心价值与学习路径

本课程将围绕上述闭环，系统性地讲解如何利用 eBPF 技术，结合 Kubernetes 准入控制机制，构建一套面向多租户场景的流量可视化与安全隔离方案。课程覆盖以下核心模块：

• eBPF 编程基础：CO-RE（Compile Once, Run Everywhere）、BPF Map 设计、XDP/TC 钩子实战。
• 准入控制器开发：Webhook 配置、动态策略注入、标签与注解的传递机制。
• 租户身份绑定：将 Kubernetes ServiceAccount、Namespace 标签与 eBPF 程序中的安全上下文关联。
• 流量拓扑生成：基于 BPF Map 数据，构建实时、租户隔离的服务依赖图。
• 策略冲突检测：在准入阶段预检 eBPF 规则是否存在冲突或越权风险。