1. 课程导论：故障域概念、OPA在集群管理中的作用、本课程目标与受众
1.1 故障域概念与集群韧性
故障域（Failure Domain）是分布式系统中一个物理或逻辑的隔离边界，该边界内的组件共享一个共同的故障风险点。在Kubernetes集群中，常见的故障域包括：
- 物理故障域：机架、电源分配单元（PDU）、网络交换机、数据中心可用区（AZ）、地域（Region）。
- 逻辑故障域：虚拟局域网（VLAN）、控制平面节点组、存储后端、服务网格边界。
合理的故障域划分能够确保当某个域发生故障（如机架断电、AZ网络中断）时，业务工作负载仍能在其他域中正常运行，从而实现高可用（HA）与灾难恢复（DR）。
关键指标：故障域划分的粒度直接影响集群的恢复时间目标（RTO）与恢复点目标（RPO）。粒度过粗（如仅按地域划分）可能导致单点故障范围过大；粒度过细（如按每台物理机划分）则可能增加调度复杂度与资源碎片。
1.2 OPA在集群管理中的作用
Open Policy Agent（OPA）是一种开源的、通用的策略引擎，它将策略决策与策略执行解耦。在Kubernetes集群管理中，OPA通过以下方式增强故障域划分的合规性与安全性：
- 准入控制：拦截Pod、Deployment、StatefulSet等资源的创建/更新请求，验证其
nodeSelector、topologySpreadConstraints、affinity等字段是否符合故障域策略。 - 策略即代码：使用Rego语言编写可测试、可版本控制的策略，替代人工审核或硬编码脚本。
- 边界条件验证：在策略中定义故障域划分的边界条件（如“每个可用区最多运行N个副本”、“关键工作负载必须跨机架分布”），并通过OPA测试框架进行自动化验证。
| 策略场景 | Rego策略示例（伪代码） | 验证目标 |
|---|---|---|
| 跨AZ分布 | count(pods_in_az) <= max_per_az |
确保Pod副本均匀分布在多个可用区 |
| 机架反亲和 | count(pods_in_rack) <= 1 |
避免同一工作负载的多个Pod运行在同一机架 |
| 控制平面隔离 | control_plane_nodes in different_az |
控制平面组件必须分布在至少3个可用区 |
实践建议：在编写OPA策略时，建议将故障域标签（如
topology.kubernetes.io/zone、topology.kubernetes.io/region）作为输入变量，使策略可适配不同集群环境。
1.3 本课程目标与受众
课程目标：
- 掌握使用Rego语言编写Kubernetes故障域划分策略的核心语法与模式。
- 学会设计边界条件测试用例，覆盖正常、异常与极端场景。
- 能够将OPA策略集成到CI/CD流水线中，实现故障域合规性的自动化验证。
- 理解常见故障域划分陷阱（如标签缺失、拓扑约束冲突）及其OPA检测方法。
目标受众：
- Kubernetes集群管理员与SRE工程师
- 平台工程团队中负责策略即代码（Policy-as-Code）的开发者
- 对OPA/Rego有基础了解，希望深入故障域场景的云原生从业者
注意：本课程不涉及OPA的安装部署细节，重点聚焦于策略逻辑设计与测试方法。若需部署OPA，请参考官方文档或使用Helm Chart快速安装。