1. 课程导论：OPA 与节点池安全基线
1.1 什么是 OPA 与节点池安全基线？
在云原生环境中，节点池（Node Pool） 是承载工作负载的算力单元集合，其安全配置直接影响整个集群的合规状态。OPA（Open Policy Agent） 是一种通用的、云原生原生的策略引擎，通过 Rego 语言将安全策略从代码中解耦，实现策略即代码（Policy as Code）。
节点池安全基线 是指一组预定义的安全配置标准，涵盖节点操作系统加固、网络策略、容器运行时权限、资源限制、审计日志等维度。OPA 通过持续评估节点池的实际状态与基线之间的偏差，实现自动化合规巡检与策略审计。
核心价值： 将安全策略从人工检查升级为自动化、可重复、可审计的代码化流程，消除配置漂移风险。
1.2 合规巡检与策略审计的价值
合规巡检与策略审计是云原生安全运营的两大核心能力，其价值体现在以下维度：
| 维度 | 合规巡检 | 策略审计 |
|---|---|---|
| 目标 | 持续验证节点池是否满足安全基线 | 追溯策略变更历史与执行记录 |
| 频率 | 实时/定时（如每分钟、每小时） | 事件驱动（策略变更、部署触发） |
| 输出 | 合规/不合规状态、违规项列表 | 审计日志、变更记录、责任人追溯 |
| 典型场景 | 节点池是否开启非 root 用户？ | 谁在何时修改了节点池安全策略？ |
| 工具链 | OPA + Gatekeeper / Conftest | OPA 决策日志 + 审计存储 |
实践建议： 合规巡检应作为 CI/CD 流水线的准入门禁，策略审计则用于事后追溯与取证，两者结合形成安全闭环。
1.3 课程目标与受众
本课程旨在帮助学员掌握以下核心能力：
- 理解 OPA 与 Rego 策略语言：从基础语法到高级模式，能够编写节点池安全基线策略。
- 构建合规巡检体系：设计自动化巡检流程，覆盖节点池的 OS 配置、网络策略、容器运行时等维度。
- 实施策略审计：配置 OPA 决策日志，实现策略变更的可追溯与可审计。
- 实战演练：通过真实案例，完成从策略编写到巡检部署的全流程操作。
目标受众：
| 角色 | 前置知识 | 学习收益 |
|---|---|---|
| 云原生安全工程师 | Kubernetes 基础、安全基线概念 | 掌握 OPA 策略编写与合规巡检自动化 |
| DevOps / 平台工程师 | CI/CD 流程、基础设施即代码 | 将安全策略集成到交付流水线 |
| 合规与审计人员 | 安全合规框架（如 CIS、NIST） | 理解策略审计的技术实现与报告生成 |
| Kubernetes 管理员 | 集群管理、节点池配置 | 提升集群安全基线合规水平 |
1.4 课程章节概览
本课程共分为 30 章，涵盖从基础概念到高级实战的完整知识体系：
- 第 1-5 章：基础篇 — OPA 架构、Rego 语法入门、节点池安全基线定义。
- 第 6-15 章：策略篇 — 合规巡检策略编写（OS 配置、网络策略、容器运行时、资源限制等）。
- 第 16-22 章：审计篇 — 策略审计配置、决策日志分析、审计报告生成。
- 第 23-28 章：集成篇 — CI/CD 流水线集成、告警通知、多集群管理。
- 第 29-30 章：实战篇 — 完整案例演练与课程总结。
注意： 本课程假设学员已具备 Kubernetes 基础操作能力。如对 Kubernetes 节点池概念不熟悉，建议先学习相关预备知识。