1. 课程导论：准入控制与策略即代码资源配额模型集成架构解析

1.1 准入控制：Kubernetes API 请求的守门人

在 Kubernetes 集群中，准入控制（Admission Control） 是 API Server 处理请求流程中的关键拦截层。任何对集群资源进行创建、更新或删除的请求，在通过身份认证（Authentication）和授权（Authorization）之后，都会进入准入控制阶段。这一机制确保了只有符合集群策略的请求才能被持久化到 etcd 中。

准入控制分为两个阶段：

• Mutating（变更阶段）： 允许修改请求对象，例如自动注入 Sidecar 容器、设置默认资源限制。
• Validating（验证阶段）： 仅检查请求是否满足约束条件，不修改对象内容。

下图展示了 Kubernetes API 请求的完整处理流程，其中准入控制位于认证与授权之后、持久化存储之前：

1.2 策略即代码：从静态配置到声明式治理

策略即代码（Policy as Code, PaC） 是一种将组织策略以机器可读、可版本控制、可自动化执行的代码形式进行管理的实践。在云原生环境中，PaC 将安全基线、合规要求、资源治理规则从运维人员的头脑或文档中，转化为可编程的约束引擎。

1.3 资源配额模型在云原生中的重要性

资源配额（Resource Quota） 是 Kubernetes 内置的准入控制机制，用于限制命名空间级别的资源消耗总量。然而，原生 ResourceQuota 对象存在明显的局限性：

• 仅支持命名空间级别的聚合限制，无法实现跨命名空间的全局配额。
• 不支持复杂的配额分配策略，如基于优先级、基于标签的动态分配。
• 缺乏配额变更的审计与通知机制。

因此，业界开始构建资源配额模型（Resource Quota Model），将配额管理从简单的数值限制升级为包含配额定义、分配策略、使用计量、超限处理、审计报告的完整治理体系。下图展示了资源配额模型在云原生平台中的核心位置：

1.4 本课程的学习目标

完成本课程后，学员将能够：

1. 理解核心概念： 掌握准入控制、策略即代码、资源配额模型的基本原理与相互关系。
2. 掌握集成架构： 能够设计将 OPA/Gatekeeper、Kyverno 等 PaC 引擎与资源配额模型集成的系统架构。
3. 实现策略编写： 使用 Rego、CEL 等策略语言编写资源配额相关的准入控制策略。
4. 构建计量与审计： 设计资源使用量的实时计量、配额预警与合规审计方案。
5. 落地生产实践： 掌握多租户场景下的配额分配、动态调整与故障排查方法。

1.5 适用人群