1. 课程导论与蓝图：多租户隔离集群的挑战、Argo CD 在其中的角色、高风险变更的定义与影响

1.1 多租户隔离集群的核心挑战

在现代云原生架构中，多租户隔离集群已成为企业级平台的标准形态。多个业务团队（租户）共享同一套 Kubernetes 控制面，但彼此的工作负载、命名空间、网络策略和资源配额必须严格隔离。这种架构在提升资源利用率的同时，也引入了以下关键挑战：

1.2 Argo CD 在多租户隔离集群中的角色

Argo CD 作为声明式 GitOps 工具，在多租户场景中承担着“统一交付网关”与“状态保障者”的双重角色。它通过 ApplicationSet、Project 和 Sync Policy 等机制，将租户的部署需求与集群的安全基线解耦。

1.3 高风险变更的定义与影响

在多租户隔离集群中，并非所有 Kubernetes 资源变更都具有相同的风险等级。我们将那些可能破坏隔离边界、影响集群稳定性或引入安全漏洞的变更定义为 高风险变更。以下是典型的高风险变更分类：

• 特权升级类： 创建或修改 ClusterRole/ClusterRoleBinding，授予集群级别权限；创建 Privileged Pod 或 HostNetwork Pod。
• 隔离突破类： 修改 NetworkPolicy 为允许所有入站/出站流量；删除或绕过 ResourceQuota 限制。
• 安全基线类： 降低 Pod Security Standards 等级（如从 Restricted 降级到 Privileged）；挂载宿主机敏感路径。
• 稳定性风险类： 修改关键系统组件的 Deployment（如 CoreDNS、kube-proxy）；调整节点级别的 kubelet 配置。
• 合规违规类： 使用未批准的镜像仓库；部署包含已知漏洞的镜像版本；缺少必要的标签或注解。

1.4 为什么需要准入策略覆盖

传统的 GitOps 工作流中，Argo CD 仅负责将 Git 仓库中的声明式配置同步到集群。如果某个租户在 Git 仓库中提交了高风险变更，Argo CD 会忠实地将其应用到集群，直到事后才发现问题。这种“先部署、后检测”的模式在多租户场景下是不可接受的。

本课程的核心目标是在 Argo CD 的同步链路中嵌入 准入策略引擎，实现以下能力：

• 变更前预检： 在 Argo CD 执行 Sync 操作之前，对目标资源进行策略评估。
• 策略即代码： 将隔离规则、安全基线、合规要求编写为可版本化的策略代码。
• 分级阻断： 根据风险等级，支持警告、拒绝、人工审批等不同响应动作。
• 审计追溯： 记录每一次策略评估结果，为合规审计提供完整证据链。

1.5 课程蓝图概览

本课程共 30 章，分为四个阶段，逐步构建完整的准入策略体系：