2. 集群模板蓝图定义：蓝图概念、Helm Chart作为模板、蓝图版本管理与分发

2.1 蓝图概念与核心要素

在多租户隔离集群中，蓝图（Blueprint） 是一份经过预审、参数化、版本化的集群资源定义集合。它封装了租户工作负载所需的全部基础设施组件，包括命名空间、网络策略、RBAC 配置、资源配额、Pod 安全标准以及可选的中间件服务。蓝图的核心目标是：将集群运维人员的安全策略与租户的业务需求解耦，同时确保每一次集群创建都符合组织的合规基线。

2.2 Helm Chart 作为模板载体

Helm Chart 是蓝图最自然的实现载体。它将 Kubernetes 资源模板、默认值、依赖关系和生命周期钩子打包为一个可版本化的单元。在多租户场景下，Helm Chart 作为模板的优势体现在三个方面：

• 参数化隔离： 通过 values.yaml 和 --set 参数，平台可以为每个租户生成独立的 release，每个 release 拥有独立的资源前缀和标签。
• 模板函数安全： 利用 tpl、include 和 required 函数，在渲染阶段校验租户输入，防止模板注入攻击。
• 依赖管理： 通过 Chart.yaml 的 dependencies 字段，将通用基础设施（如日志采集、监控代理）作为子 Chart 引入，统一版本控制。

# 多租户蓝图 Chart 结构示例
tenant-blueprint/
├── Chart.yaml                # 版本 1.2.0，annotations 包含合规基线版本
├── values.yaml               # 默认值，包含安全基线参数
├── templates/
│   ├── _helpers.tpl          # 通用命名函数，注入租户前缀
│   ├── namespace.yaml        # 命名空间模板，强制注入审计标签
│   ├── networkpolicy.yaml    # 默认拒绝策略，仅开放 ingress 白名单
│   ├── rbac.yaml             # 租户 RoleBinding，绑定到预置的租户组
│   ├── resourcequota.yaml    # 资源配额，从 values 读取限制值
│   └── podsecurity.yaml      # Pod Security Admission 标签
└── charts/                   # 依赖的子 Chart（如 logging-agent, metrics-exporter）

2.3 蓝图版本管理与分发

蓝图版本管理需要同时满足语义化版本和合规基线版本两个维度。语义化版本（SemVer）用于追踪功能变更，合规基线版本用于标识安全策略的快照。每次安全策略更新（如 Pod Security Standard 从 baseline 升级到 restricted），即使功能未变，也必须提升合规基线版本。

分发机制采用 OCI Registry 存储 + Helm Chart 仓库索引 的双通道模式：

• OCI Registry： 将 Chart 打包为 OCI 镜像，推送到私有 Registry（如 Harbor、AWS ECR）。每个版本对应一个唯一的 digest，确保不可篡改性。
• Chart 仓库索引： 维护 index.yaml 文件，记录每个版本的 URL、digest 和合规基线版本。平台 CI/CD 流水线在发布新版本时自动更新索引。

# 使用 OCI 分发蓝图
helm package tenant-blueprint/ --version 1.2.0
helm push tenant-blueprint-1.2.0.tgz oci://registry.example.com/charts

# 租户集群拉取指定合规基线版本
helm install tenant-42 oci://registry.example.com/charts/tenant-blueprint \
  --version 1.2.0 \
  --set tenant.name=tenant-42 \
  --set compliance.version=v2024.12

2.4 蓝图合规基线校验

在蓝图分发之前，必须通过合规基线校验流水线。该流水线自动执行以下检查：

1. 静态模板扫描： 使用 kube-linter 或 polaris 检查模板是否违反 Pod 安全标准、是否缺少 NetworkPolicy、是否使用 privileged 容器。
2. 参数边界校验： 验证 values.yaml 中所有可配置项是否在允许范围内（如 CPU 限制不超过 8 核、存储请求不超过 100Gi）。
3. 依赖版本校验： 确认所有子 Chart 版本不在已知 CVE 列表中，且与当前集群版本兼容。
4. 签名验证： 使用 Chart 签名公钥验证包的完整性和来源。