1. 课程导论：为什么需要关注准入策略与 Kustomize 的适配？
1.1 控制平面安全的最后一公里
Kubernetes 控制平面通过 准入控制器（Admission Controller） 在资源持久化之前执行策略验证。然而，当团队采用 Kustomize 进行声明式配置管理时，资源清单在提交到集群之前已经经历了多层资源合并（Resource Merge）。这种合并过程可能无意中绕过或削弱准入策略的预期效果，形成安全盲区。
核心矛盾：Kustomize 的 overlay 机制允许在构建时动态修改资源字段，而准入策略通常在运行时（资源到达 API Server 后）才生效。两者之间的语义鸿沟可能导致策略失效、配置漂移或安全违规。
1.2 GitOps 工作流中的策略适配挑战
在 GitOps 实践中，Kustomize 作为配置编排工具，与策略引擎（如 OPA/Gatekeeper、Kyverno）的交互存在三个关键断层：
| 断层维度 | Kustomize 行为 | 准入策略预期 | 适配风险 |
|---|---|---|---|
| 字段合并 | patches 可能覆盖 securityContext | 强制要求非 root 运行 | 策略绕过 |
| 资源生成 | configMapGenerator 动态创建资源 | 需要校验生成后的完整对象 | 校验盲区 |
| 命名空间继承 | namespace 通过 overlay 注入 | 基于命名空间的策略绑定 | 策略错配 |
| 变量替换 | vars 引用可能导致值突变 | 期望静态约束 | 约束失效 |
1.3 从“事后拦截”到“事前预防”的范式转变
传统安全模型依赖运行时准入控制，但在 GitOps 高速迭代场景下，这种模式存在明显短板：
- 反馈延迟：策略违规在部署阶段才被发现，CI/CD 流水线被迫回滚
- 审计困难：Kustomize 构建后的资源与原始 Git 仓库中的声明不一致，难以追溯
- 策略膨胀：为覆盖所有合并场景，策略规则变得复杂且难以维护
本课程提出的解决方案是将策略验证左移到 Kustomize 构建阶段，在资源合并完成后、提交到集群之前执行策略检查。
1.4 适配策略的核心收益
通过本课程的学习，你将掌握在 Kustomize 工作流中集成准入策略的完整方法论，实现以下收益：
- 策略一致性：确保 Kustomize 合并后的资源与策略约束完全对齐，消除运行时意外
- 流水线加速：将策略检查左移到 CI 阶段，减少集群端拒绝导致的部署延迟
- 可审计性：构建产物与策略评估结果一一对应，支持细粒度合规审计
- 维护简化：策略规则聚焦于最终资源形态，无需为 Kustomize 的合并逻辑编写补偿规则
1.5 课程适用场景与前置知识
| 角色 | 关注点 | 前置要求 |
|---|---|---|
| 平台工程师 | 构建安全的 GitOps 流水线 | 熟悉 Kustomize 基础、Kubernetes 准入控制 |
| 安全工程师 | 定义可执行的策略规则 | 了解 OPA Rego 或 Kyverno 策略语法 |
| DevOps 工程师 | 集成策略检查到 CI/CD | 掌握 CI 工具（GitHub Actions / GitLab CI） |
| 架构师 | 设计控制平面安全体系 | 理解 Kubernetes 控制平面组件 |
学习建议：本课程包含大量可运行的代码示例和策略模板。建议准备一个测试集群（minikube 或 kind）以及安装了 kustomize 和 opa 命令行工具的环境，以便同步实践。
1.6 课程路线图
本课程共 30 章，分为四个阶段：
- 基础篇（第 1-8 章）：Kustomize 资源合并原理、准入策略基础、适配问题全景
- 策略篇（第 9-18 章）：OPA/Gatekeeper 与 Kyverno 在 Kustomize 场景下的策略编写
- 集成篇（第 19-25 章）：CI/CD 流水线集成、策略测试框架、GitOps 适配模式
- 进阶篇（第 26-30 章）：多集群策略管理、性能优化、生产级最佳实践
重要提示：本课程不假设你已经精通所有工具，但要求具备基本的 Kubernetes 资源定义（Pod、Deployment、Namespace）读写能力。如果你对 Kustomize 完全陌生，建议先阅读官方 Kustomize 文档的前三章。