1. 课程导论：控制平面接口调用与 Secrets 管理准入策略集成的背景、目标与整体架构概览

1.1 课程背景：为什么需要集成控制平面接口与 Secrets 准入策略？

在云原生生产环境中，Kubernetes 控制平面是集群的“大脑”，其 API Server 暴露了所有资源操作接口。与此同时，Secrets 作为敏感负载（凭证、TLS 证书、令牌）的核心载体，其访问控制一直是安全基线的薄弱环节。传统做法中，Secrets 的创建、读取、挂载往往依赖 RBAC 粗粒度授权，缺乏对调用上下文（如来源 IP、请求方法、资源标签）的细粒度校验，导致以下三类典型风险持续高发：

• Secrets 横向越权：开发命名空间的 ServiceAccount 通过控制平面接口读取生产命名空间的数据库密码。
• 非预期接口调用：恶意 Pod 利用 kubectl exec 或 APIService 扩展接口绕过准入控制器直接操作 Secrets。
• 凭证泄露链：CI/CD 流水线中临时令牌被持久化到 ConfigMap，再通过控制平面接口被第三方组件拉取。

本课程旨在构建一套 控制平面接口调用与 Secrets 管理准入策略集成 的体系，将 API 调用审计、动态准入 Webhook、策略引擎（如 OPA/Gatekeeper）与 Secrets 存储后端（如 External Secrets Operator）联动，实现从请求入口到凭证落地的全链路安全管控。

1.2 课程目标：从接口监控到策略执行

完成本课程后，学员将能够：

1.3 整体架构概览：三层联动模型

本课程提出的集成架构采用 接口层 → 策略层 → 存储层 三层模型，各层职责清晰，通过标准 Kubernetes 扩展机制（Webhook、审计日志、CRD）实现松耦合集成。下图展示了核心组件及其调用关系：

1.4 核心组件与数据流

下表总结了各层核心组件及其在集成架构中的职责：

1.5 典型集成场景：从请求到策略的完整路径

以一个生产级场景为例——限制只有特定 ServiceAccount 能从指定命名空间读取数据库 Secrets，完整数据流如下：

1. 请求发起：开发命名空间下的 Pod 通过 client-go 调用 GET /api/v1/namespaces/production/secrets/db-cred。
2. API Server 拦截：请求到达 API Server，触发 ValidatingAdmissionWebhook 配置。
3. 策略评估：Webhook 将请求的 userInfo（ServiceAccount 名）、namespace（production）、resource（secrets）发送至 OPA 引擎。
4. 决策返回：OPA 执行 Rego 规则——如果 userInfo.username 不在允许列表中，返回 allowed: false 并附带拒绝消息。
5. 审计记录：API Server 将此次请求（包括 Webhook 决策）写入审计日志，供后续审计和告警使用。
6. 存储层联动：如果请求通过，External Secrets Operator 根据 ExternalSecret 资源中的策略标签，从 Vault 拉取最新凭证并写入目标 Secrets。

1.6 课程路线图与章节结构

本课程共 30 章，分为五个阶段，每个阶段聚焦一个核心能力域：

1.7 预备知识与环境要求

为获得最佳学习体验，建议学员具备以下基础：

• 熟悉 Kubernetes 基本概念（Pod、Service、Namespace、RBAC）
• 了解 YAML 清单编写与 kubectl 常用命令
• 具备基础的 Linux 命令行操作能力
• （可选）了解 OPA Rego 或 Kyverno 策略语法

实验环境推荐：