VIP20
本课程属于：028-GitOps交付节点池巡检 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

OPA节点池安全基线合规巡检与策略审计

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
课程导论
OPA与节点池安全基线概念 · 合规巡检与策略审计的价值 · 课程目标与受众
课程导论OPA
02
OPA基础回顾
OPA架构 · Rego语言核心语法 · OPA与Kubernetes集成方式
OPA基础回顾
03
节点池安全基线定义
什么是节点池安全基线 · 常见基线标准（CIS Benchma… · NIST）
节点池安全基线定…什么是节点池安全…
04
Rego策略入门
编写第一条Rego规则 · 规则结构（package · import
Rego策略入门
05
节点池元数据采集
如何获取节点池信息（kubectl · API） · 节点标签
节点池元数据采集kubectl
06
节点操作系统合规
检查节点OS版本 · 内核参数 · 是否使用受支持发行版（如Ubuntu…
节点操作系统合规OS
07
节点安全配置基线
SSH禁用密码登录 · root登录限制 · 防火墙规则（iptables/nft…
节点安全配置基线SSH
08
节点资源限制策略
检查节点是否设置CPU/内存预留 · Pod资源配额 · 避免资源争抢
节点资源限制策略CPU
09
节点网络策略审计
检查节点网络插件（Calico/Ci… · NetworkPolicy是否启用 · 默认拒绝规则
节点网络策略审计Calico/Ci
10
节点存储安全基线
检查节点磁盘加密 · 使用持久卷的加密配置 · 敏感数据挂载限制
节点存储安全基线检查节点磁盘加密
11
节点运行时安全
检查容器运行时（containerd… · Seccomp/AppArmor/S…
节点运行时安全containerd
12
节点身份与访问管理
检查节点kubelet证书 · RBAC绑定 · ServiceAccount令牌挂载
节点身份访问管理
13
节点日志与审计
检查节点日志收集（fluentd/f… · 审计日志启用 · 日志保留策略
节点日志审计
14
节点镜像安全基线
检查节点是否使用私有镜像仓库 · 镜像签名验证 · 禁止latest标签
节点镜像安全基线检查节点是否使用…
15
节点自动修复与自愈
检查节点健康检查 · 自动修复机制（Node Proble… · 污点驱逐策略
节点自动修复自愈
16
节点池版本管理
检查节点池Kubernetes版本 · 版本升级策略 · 弃用API版本检测
节点池版本管理Kubernetes
17
节点池标签与污点策略
强制节点池必须包含特定标签（如env… · 禁止特定污点
节点池标签污点策略
18
节点池规模与弹性策略
检查节点池最小/最大实例数 · 弹性伸缩策略（Cluster Aut… · Spot实例使用限制
节点池规模弹性策略
19
节点池网络隔离策略
检查节点池是否位于独立子网 · 安全组规则 · 跨节点池流量限制
节点池网络隔离策…检查节点池是否位…
20
节点池数据持久化策略
检查节点池是否挂载共享存储 · 存储类（StorageClass）合… · 备份策略
节点池数据持久化…检查节点池是否挂…
21
节点池GPU/特殊硬件策略
检查GPU节点驱动版本 · NVIDIA容器工具包 · 特殊硬件标签
GPU节点池
22
节点池成本优化策略
检查节点池实例类型 · 预留实例/Spot实例比例 · 成本标签
节点池成本优化策…检查节点池实例类…
23
OPA Gatekeeper集成
部署Gatekeeper · 创建ConstraintTempla… · 编写Constraint
OPAGatekeeper
24
OPA策略审计框架
设计审计流水线 · 定时巡检（CronJob） · 审计结果存储（ConfigMap/数…
OPA策略审计框架
25
审计报告生成
生成HTML/JSON审计报告 · 报告包含违规详情 · 修复建议
审计报告生成HTML/JSON
26
告警与通知
集成告警系统（Prometheus… · Slack · 邮件）
告警通知
27
策略生命周期管理
策略版本控制（GitOps） · 策略测试（Rego单元测试） · 策略灰度发布
策略生命周期管理GitOps
28
实战案例一
编写节点池OS版本合规策略 · 并模拟违规场景进行审计
实战案例一OS
29
实战案例二
编写节点池资源预留策略 · 并集成到CI/CD流水线中
实战案例二编写节点池资源预…
30
课程总结与最佳实践
常见陷阱 · 性能优化 · 未来展望（OPA与Kyverno对比
课程总结最佳实践