3. 策略命中率概念详解

策略命中率是衡量 RBAC 规则有效性的核心指标。它反映了在容器运行时控制面中，实际被策略匹配并生效的请求占比。理解命中率的计算公式、分子与分母的确定方法，是后续进行误报分析与策略优化的基础。

3.1 命中率的标准计算公式

在 Kubernetes RBAC 审计与策略治理场景中，策略命中率通常定义为：

策略命中率 = (匹配请求数 / 总请求数) × 100%

其中：

• 匹配请求数（分子）：被至少一条 RBAC 策略规则显式匹配（Allow 或 Deny）的 API 请求数量。
• 总请求数（分母）：在观测时间窗口内，Kubernetes API Server 接收到的所有可审计请求总数。

3.2 分母的确定方法：总请求数

分母的采集来源是 Kubernetes API Server 的审计日志（Audit Log）。每个请求在审计日志中对应一条记录，包含请求的 user、verb、resource、responseStatus 等字段。

3.3 分子的确定方法：匹配请求数

分子需要从审计日志中筛选出“被策略规则显式匹配”的请求。匹配判定逻辑如下：

1. 提取策略规则集：从集群中获取所有 ClusterRole、Role、ClusterRoleBinding、RoleBinding 对象，解析出每条规则的 apiGroups、resources、verbs、resourceNames。
2. 逐条审计日志匹配：对每条审计日志中的 user、verb、resource、namespace 字段，与策略规则进行比对。
3. 判定条件：如果请求的 user 在某个 RoleBinding/ClusterRoleBinding 中，且请求的 verb + resource 组合被该绑定引用的 Role/ClusterRole 中的某条规则覆盖，则计为一次匹配。

# 伪代码：匹配判定逻辑
for each audit_log in audit_logs:
    matched = False
    for each binding in all_bindings:
        if audit_log.user in binding.subjects:
            role = get_role(binding.roleRef)
            for each rule in role.rules:
                if match_rule(rule, audit_log):
                    matched = True
                    break
    if matched:
        matched_count += 1

3.4 命中率计算流程总览

下图展示了从原始审计日志到命中率输出的完整计算链路：

3.5 常见误区与校正

3.6 命中率的分层统计

在实际治理中，单一全局命中率往往掩盖细节问题。建议按以下维度进行分层统计：

• 按命名空间分层：计算每个 Namespace 内的策略命中率，识别低覆盖率的 Namespace。
• 按资源类型分层：分别计算 Pod、Service、ConfigMap、Secret 等资源的命中率。
• 按操作类型分层：区分 get、list、create、update、delete 的命中率差异。
• 按用户身份分层：对比 human user 与 ServiceAccount 的命中率，发现 ServiceAccount 策略覆盖不足的问题。