1. 课程导论：策略即代码（Policy as Code）的定义、核心价值与在云原生架构中的战略地位

1.1 策略即代码的定义与本质

策略即代码（Policy as Code, PaC）是将传统运维策略、安全规则、合规约束与资源治理逻辑，通过声明式或可编程语言进行形式化描述，并纳入版本控制、自动化测试与持续交付流水线的工程实践。其核心思想是：将“策略”从人工审批、静态文档或硬编码逻辑中解放出来，转变为可执行、可测试、可审计的代码资产。

在云原生架构中，策略即代码并非单一工具，而是一种架构范式。它要求所有资源配额、访问控制、网络策略、成本预算与安全基线，均以代码形式存在于 Git 仓库中，并通过 Operator、Webhook 或 Admission Controller 等机制在运行时强制执行。

1.2 核心价值矩阵

策略即代码为云原生架构带来的核心价值，可从以下四个维度进行量化评估：

1.3 在云原生架构中的战略地位

策略即代码在云原生架构中处于控制平面与数据平面之间的关键纽带位置。它向上承接组织治理需求（安全基线、成本预算、合规要求），向下驱动基础设施与工作负载的运行时行为。其战略地位体现在以下三个层面：

1. 资源治理的“守门人”： 在多租户集群、混合云环境中，策略即代码确保每个命名空间、每个工作负载的资源配额（CPU/内存/存储/GPU）不越界，防止“吵闹邻居”效应。
2. 安全合规的“自动化护栏”： 将 PCI-DSS、SOC2、GDPR 等合规要求转化为可执行的策略规则，在镜像拉取、Pod 创建、网络策略变更等环节自动拦截违规操作。
3. 平台工程的“可编程契约”： 平台团队通过策略即代码向应用团队暴露“黄金路径”约束，例如强制所有 Pod 必须设置 resource limits、必须挂载只读根文件系统、必须启用 PodDisruptionBudget。

1.4 资源配额模型：策略即代码的典型战场

资源配额管理是策略即代码在云原生架构中最具代表性的应用场景之一。Kubernetes 原生的 ResourceQuota 与 LimitRange 对象虽然提供了基础的配额能力，但在多集群、多租户、动态资源调度的复杂场景下，原生机制存在以下局限：

• 静态配置： 无法根据集群实时负载或业务优先级动态调整配额。
• 缺乏分层： 不支持组织级 → 部门级 → 项目级的分层配额继承与覆盖。
• 无审计闭环： 配额变更无版本记录，违规操作无法自动回滚。
• 跨集群不一致： 每个集群需独立配置，缺乏全局策略视图。

1.5 策略即代码的典型工作流

一个完整的策略即代码工作流，通常包含以下六个阶段：

1.6 本课程的技术栈与前置知识

本课程将围绕以下技术栈展开深度分析：

• 策略引擎： OPA (Rego)、Kyverno、CEL、Kubernetes Native RBAC
• 资源配额模型： Kubernetes ResourceQuota、LimitRange、自定义配额 CRD
• 接口调用机制： Admission Webhook (Mutating & Validating)、Dynamic Admission Control、gRPC 拦截器
• 可观测性： OpenTelemetry、审计日志、策略决策日志
• CI/CD 集成： GitHub Actions、ArgoCD Workflows、Tekton