4. 合规巡检需求分析：企业合规场景与巡检目标

在云原生环境中，节点池作为承载工作负载的核心资源池，其配置合规性直接影响集群的稳定性、安全性与运营成本。企业合规巡检并非单一维度的检查，而是围绕资源限制、安全基线、成本控制、地域限制四大核心场景展开的系统性评估。本章将逐一分析各场景的合规需求，并明确对应的巡检目标，为后续 OPA 策略编写提供业务依据。

4.1 企业合规四大场景概览

下表从业务驱动、典型违规风险、巡检粒度三个维度，对比了四大合规场景的核心差异：

4.2 资源限制场景与巡检目标

资源限制合规旨在防止单个节点池或工作负载过度消耗集群资源，导致服务质量下降或级联故障。巡检目标聚焦于节点规格上限、Pod 资源配额以及资源预留策略。

• 节点规格上限检查：确保节点池中所有节点的 CPU、内存、GPU 等资源不超过企业设定的最大规格（如 CPU ≤ 64 核，内存 ≤ 256 GiB）。
• Pod 资源请求/限制检查：验证节点池内运行的 Pod 是否显式设置了 resources.requests 和 resources.limits，防止未约束的 Pod 引发资源争抢。
• 资源预留比例检查：检查节点池的 kube-reserved 和 system-reserved 配置是否满足集群预留比例要求（如预留 20% 内存用于系统守护进程）。

4.3 安全基线场景与巡检目标

安全基线合规是云原生安全的第一道防线。巡检目标覆盖容器运行时安全、节点安全配置以及网络策略合规性。

• 容器安全上下文检查：禁止节点池中的 Pod 以 privileged 模式运行，禁止 allowPrivilegeEscalation 为 true，强制要求 readOnlyRootFilesystem 为 true。
• 主机路径挂载检查：限制节点池中 Pod 对宿主机敏感路径（如 /var/run/docker.sock、/proc、/sys）的挂载，防止容器逃逸。
• 节点安全组检查：验证节点池关联的安全组是否开放了高危端口（如 22、3389）到 0.0.0.0/0。
• 镜像来源检查：确保节点池使用的容器镜像来自企业私有仓库，禁止拉取外部未授权镜像。

4.4 成本控制场景与巡检目标

成本控制合规关注资源利用率与实例选型的合理性，避免因配置不当导致的资源浪费。巡检目标包括实例类型匹配、闲置资源识别以及标签合规。

• 实例类型匹配检查：验证节点池的实例规格是否与工作负载的 CPU/内存需求匹配（如 CPU 密集型应用不应使用通用型实例）。
• 闲置节点检查：识别节点池中资源利用率长期低于 20% 的节点，触发缩容或实例降配建议。
• 成本标签检查：确保节点池绑定了正确的成本中心、项目或环境标签，便于费用分摊与预算追踪。
• 预留实例检查：检查节点池是否使用了预留实例或 Spot 实例，以优化按需实例的成本支出。

4.5 地域限制场景与巡检目标

地域限制合规主要应对数据主权、网络延迟和监管要求。巡检目标聚焦于节点池的可用区分布、区域标签以及跨地域数据流动。

• 可用区合规检查：验证节点池的节点是否仅部署在允许的可用区列表内（如仅限 cn-beijing-a 和 cn-beijing-b）。
• 区域标签检查：确保节点池的 metadata.labels 中包含 region 和 zone 标签，且值与企业定义的区域编码一致。
• 跨地域数据流动检查：检查节点池是否配置了跨地域的存储卷挂载或网络策略，防止数据违规出境。

4.6 合规巡检目标汇总

综合四大场景，企业合规巡检的最终目标可归纳为以下五个维度：

1. 配置标准化：所有节点池配置遵循企业定义的模板，消除配置漂移。
2. 风险可视化：实时展示违规配置项及其影响范围，支持快速定位与修复。
3. 策略自动化：通过 OPA 策略实现配置的准入控制与持续审计，减少人工干预。
4. 成本可量化：将合规巡检结果与成本数据关联，量化违规配置带来的额外支出。
5. 审计可追溯：记录每次巡检结果与策略变更历史，满足内部审计与外部监管要求。

4.7 场景驱动的策略设计思路

基于上述需求分析，OPA 策略的设计应遵循“场景-规则-动作”三层模型：

• 场景层：定义合规场景（如资源限制、安全基线），作为策略分类标签。
• 规则层：编写具体的 Rego 规则，检查节点池配置的特定字段（如 spec.template.spec.containers[].securityContext.privileged）。
• 动作层：定义违规后的处理动作（如拒绝创建、告警通知、自动修复）。