1. 课程导论：控制平面与 Service Catalog 的概念、基线核验的定义、课程目标与学习路径
1.1 为什么需要这门课程？
在云原生生态中，Kubernetes 控制平面负责声明式资源管理、调度与状态收敛，而 Service Catalog 则承担着服务实例与绑定的生命周期编排。两者之间的通信机制如果缺乏基线核验，极易出现配置漂移、凭证泄露、服务不可用等生产事故。本课程旨在建立一套可落地、可审计的核验通信体系，确保控制平面与 Service Catalog 之间的每一次交互都符合安全与合规基线。
核心洞察： 基线核验不是一次性的合规检查，而是嵌入在控制平面与 Service Catalog 通信路径中的持续验证机制。它要求在每个关键交互节点（如资源创建、凭证分发、状态同步）都执行预定义的校验规则。
1.2 核心概念定义
| 概念 | 定义 | 在通信机制中的角色 |
|---|---|---|
| 控制平面 | Kubernetes 集群的核心组件集合，包括 API Server、Controller Manager、Scheduler 和 etcd，负责维护集群的期望状态。 | 作为通信的发起方与状态仲裁者，通过 API Server 暴露标准接口，驱动 Service Catalog 执行服务操作。 |
| Service Catalog | Kubernetes 扩展组件，通过 Open Service Broker API 管理外部服务（如数据库、消息队列）的实例化与绑定。 | 作为服务代理的消费者与编排者，接收控制平面的指令，将服务生命周期映射为 Kubernetes 原生资源。 |
| 基线核验 | 一组预定义的、可执行的校验规则集合，用于验证通信双方的身份、权限、数据完整性和行为合规性。 | 嵌入在通信链路中，确保每次 API 调用、凭证交换、状态更新都满足安全与运维基线。 |
1.3 基线核验的三大维度
- 身份与权限核验： 验证控制平面与 Service Catalog 之间的 TLS 证书、ServiceAccount 绑定、RBAC 规则是否与基线一致。
- 数据完整性核验： 校验 Secret 中的凭证、ConfigMap 中的配置、CRD 中的服务描述是否未被篡改。
- 行为合规性核验： 检查服务实例的创建/更新/删除操作是否遵循预定义的审批流程与资源配额。
1.4 通信机制全景图
下图展示了控制平面与 Service Catalog 之间的核心通信路径，以及基线核验的嵌入位置：
1.5 课程目标
- 理解通信模型： 掌握控制平面与 Service Catalog 之间的 API 调用链、资源映射关系与状态同步机制。
- 设计基线规则： 能够根据业务场景定义身份、数据、行为三大维度的核验规则，并转化为可执行的策略。
- 实现核验通信： 通过 Admission Webhook、OPA/Gatekeeper、自定义控制器等技术，在通信路径中嵌入基线核验逻辑。
- 故障排查与审计： 能够分析核验失败的原因，定位通信链路中的异常节点，并生成合规审计报告。
1.6 学习路径与章节结构
本课程共分为 30 章，按照从基础到进阶、从理论到实践的顺序组织：
| 阶段 | 章节范围 | 核心内容 |
|---|---|---|
| 基础篇 | 第 1-8 章 | 控制平面与 Service Catalog 核心概念、通信协议（Open Service Broker API）、基线核验理论基础。 |
| 进阶篇 | 第 9-18 章 | 身份与权限核验（TLS/mTLS、RBAC、ServiceAccount）、数据完整性核验（Secret 校验、ConfigMap 审计）。 |
| 实践篇 | 第 19-26 章 | Admission Webhook 实现、OPA/Gatekeeper 策略编写、自定义控制器开发、端到端核验流水线搭建。 |
| 运维篇 | 第 27-30 章 | 故障排查方法论、审计日志分析、性能优化、生产环境最佳实践。 |
1.7 基线核验的典型场景
为了帮助学员建立直观认知，下表列出了三个典型的生产场景及其对应的核验需求：
| 场景 | 通信交互 | 基线核验要点 |
|---|---|---|
| 数据库服务实例创建 | 控制平面 → Service Catalog → 外部数据库 Broker | 校验创建请求的 RBAC 权限、Broker 返回的实例 ID 格式、Secret 中凭证的加密强度。 |
| 服务绑定凭证获取 | Service Catalog → 控制平面（Secret 写入） | 验证 ServiceBinding 的命名空间隔离、Secret 的标签与注解是否符合基线、凭证有效期是否合规。 |
| 服务实例状态同步 | Service Catalog → 控制平面（Status 更新） | 检查状态字段的变更是否在预期范围内、更新频率是否超过限流阈值、是否触发告警规则。 |
课程预备知识： 建议学员具备 Kubernetes 基础操作能力（kubectl、Pod/Service/Deployment 管理）、了解 RBAC 与 TLS 基本概念、熟悉 YAML 编写。本课程将在第 2-3 章对控制平面和 Service Catalog 进行深度回顾，确保基础薄弱的学员也能跟上进度。