3. 灾备准入策略总览：什么是准入策略、灾备准入策略的三大支柱（备份、恢复、验证）、策略生命周期管理

在 Argo CD 的灾备体系中，准入策略（Admission Policy） 是一组在变更进入集群之前强制执行的规则与检查点。它并非单一工具，而是一种架构约束：任何对灾备配置的修改（如备份策略调整、恢复目标变更、验证计划更新）都必须通过预定义的策略引擎校验，否则拒绝执行。准入策略的核心目标是防止“配置漂移”与“人为误操作”破坏灾备能力基线。

3.1 灾备准入策略的三大支柱

灾备准入策略围绕三个不可分割的支柱构建：备份（Backup）、恢复（Recovery）、验证（Verification）。任何支柱的缺失或弱化都会导致灾备能力降级。下表对比了三大支柱在准入策略中的关注点与校验维度：

3.2 策略生命周期管理

准入策略本身并非静态配置，它需要像应用代码一样经历完整的生命周期管理。在 Argo CD 灾备场景中，策略生命周期通常包含以下五个阶段：

1. 定义（Define）：使用策略即代码（Policy-as-Code）工具（如 OPA/Gatekeeper、Kyverno）编写校验规则，明确备份、恢复、验证的准入条件。
2. 测试（Test）：在沙箱环境中对策略进行单元测试与集成测试，确保规则逻辑正确且无副作用。
3. 部署（Deploy）：通过 GitOps 流程将策略配置同步到目标集群，Argo CD 负责策略本身的版本管理与回滚。
4. 审计（Audit）：持续监控策略执行日志，分析拒绝事件与合规偏差，生成准入报告。
5. 优化（Optimize）：根据审计结果与灾备演练反馈，调整策略阈值、覆盖范围或校验逻辑，进入下一轮迭代。

3.3 准入策略与三大支柱的协同关系

在 Argo CD 的灾备上下文中，准入策略并非独立运行，而是与备份、恢复、验证三大支柱深度耦合。以下表格展示了每个支柱在策略生命周期各阶段的具体活动：

3.4 策略即代码（Policy-as-Code）示例

以下是一个基于 OPA/Gatekeeper 的准入策略示例，用于强制要求所有备份配置必须包含 retentionDays 字段且值 ≥ 30：

# backup_retention_policy.rego
package argo_cd_dr

violation[{"msg": msg}] {
    input.request.kind.kind == "BackupConfig"
    not input.request.object.spec.retentionDays
    msg := "BackupConfig 必须设置 retentionDays 字段"
}

violation[{"msg": msg}] {
    input.request.kind.kind == "BackupConfig"
    input.request.object.spec.retentionDays < 30
    msg := sprintf("retentionDays 必须 ≥ 30，当前值: %v", [input.request.object.spec.retentionDays])
}

将此策略部署为 Gatekeeper ConstraintTemplate 后，任何违反规则的 BackupConfig 变更都会被准入控制器拒绝，从而确保备份保留策略始终符合灾备基线。