1. 课程导论：Backstage与Kyverno概述、基线核验的重要性、课程目标与受众
1.1 为什么需要将策略引擎引入开发者门户
在云原生生态中，Backstage 已成为企业级开发者门户的事实标准，而 Kyverno 则是 Kubernetes 生态中最受欢迎的策略引擎之一。当两者结合时，团队可以在开发者自服务流程中嵌入安全与合规基线核验，实现“左移”策略执行。
核心洞察： 超过 70% 的 Kubernetes 安全事件源于配置漂移或基线偏离。在 Backstage 中集成 Kyverno 策略核验，可将合规检查从运维后置环节提前至开发者创建/更新组件的那一刻。
1.2 Backstage 与 Kyverno 概述
| 维度 | Backstage | Kyverno |
|---|---|---|
| 定位 | 开发者门户与工程化平台 | Kubernetes 原生策略引擎 |
| 核心能力 | 软件目录、模板、技术文档、插件生态 | 策略即代码、资源验证/变更/生成 |
| 策略来源 | 通过插件调用外部策略服务 | ClusterPolicy / Policy 自定义资源 |
| 核验时机 | 组件注册、模板渲染、CI/CD 门禁 | Admission Webhook（变更/验证） |
| 集成方式 | 自定义插件 + 后端代理 + 前端展示 | REST API / CLI / 事件驱动 |
本课程聚焦于 Backstage 插件 如何调用 Kyverno 策略引擎，对开发者提交的 Kubernetes 资源清单进行基线核验，并将结果反馈到 Backstage 界面中。
1.3 基线核验的重要性
基线核验（Baseline Validation）是指一组最低安全与合规要求，所有部署到集群的资源必须满足。常见的基线包括：
- 容器安全基线： 禁止特权容器、禁止挂载 Docker Socket、限制 seccomp / AppArmor 配置。
- 资源限制基线： 必须设置 CPU/内存 requests 与 limits，禁止无限资源占用。
- 网络策略基线： 默认拒绝入站流量，仅允许显式声明的白名单端口。
- 镜像来源基线： 只允许来自私有仓库或经过签名的镜像。
- 标签与注解基线： 强制要求 owner、environment、cost-center 等元数据标签。
常见误区： 很多团队只在 CI/CD 流水线末端做策略检查，此时发现问题需要回滚，修复成本高。通过 Backstage 插件在开发者提交资源定义时即进行基线核验，可将修复成本降低 60% 以上。
1.4 课程架构与流程
下图展示了本课程的核心架构：Backstage 插件作为策略核验的入口，通过 Kyverno API 获取策略结果，并返回给开发者。
1.5 课程目标与受众
课程目标
- 理解 Backstage 插件开发的基本模式与 Kyverno 策略引擎的核心概念。
- 掌握如何在 Backstage 中集成 Kyverno 策略核验，实现基线合规检查。
- 学会编写和部署 Kyverno 基线策略，并通过 Backstage 插件展示核验结果。
- 能够将核验结果嵌入开发者工作流，实现策略即代码的闭环。
目标受众
| 角色 | 前置知识要求 | 课程收益 |
|---|---|---|
| 平台工程师 | 熟悉 Kubernetes 基础操作，了解 Backstage 基本概念 | 掌握策略集成方法，构建合规自服务门户 |
| DevOps / SRE | 有 CI/CD 流水线经验，了解策略即代码理念 | 将基线核验左移到开发阶段，减少生产事故 |
| 安全工程师 | 了解容器安全与 Kubernetes 安全基线 | 通过 Kyverno 策略实现自动化合规审计 |
| Backstage 插件开发者 | 有 TypeScript / React 基础 | 学习如何调用外部策略引擎并展示结果 |
1.6 课程内容概览
本课程共 30 章，分为四个主要阶段：
- 基础篇（第 1-8 章）： Backstage 插件开发基础、Kyverno 策略语法、基线核验概念。
- 集成篇（第 9-18 章）： 构建 Backstage 后端代理、调用 Kyverno API、前端结果展示。
- 策略篇（第 19-25 章）： 编写常见基线策略（安全、资源、网络、镜像）、策略测试与调试。
- 实战篇（第 26-30 章）： 完整端到端案例、CI/CD 集成、生产环境最佳实践。
学习建议： 建议在本地或开发集群中搭建 Backstage 实例（可使用官方模板）和 Kyverno 环境。每章都配有可运行的代码示例，动手实践效果最佳。