1. 课程导论：为什么需要容量规划与版本漂移治理？
在云原生架构中，Kubernetes 集群的稳定性和可预测性直接决定了业务交付质量。然而，随着微服务数量激增、发布频率加快，两个核心问题逐渐浮出水面：容量规划缺失导致的资源争抢与成本失控，以及版本漂移引发的配置不一致与故障蔓延。本课程将系统讲解如何通过容量规划与 Kyverno 策略引擎联合治理，构建可观测、可控制、可审计的集群运行态。
1.1 容量规划：从“被动救火”到“主动预算”
传统运维模式下，容量管理往往表现为“资源不足→告警→扩容”的被动循环。这种模式在云原生环境中会带来三个致命问题：
- 资源碎片化：未合理设置 Request/Limit 导致节点利用率不均，大量 CPU/内存碎片无法被调度。
- 成本黑洞：无限制的 HPA 弹性策略可能使集群在流量高峰时瞬间消耗数倍资源，账单失控。
- 调度失败：缺乏预留缓冲容量，节点故障或滚动更新时 Pod 无法被重新调度，引发级联故障。
核心观点：容量规划的本质是将资源视为“有限预算”，通过 Request/Limit 配额、节点池预留、HPA 阈值校准等手段，实现资源供给与业务需求的动态平衡。
下表对比了无规划与有规划两种模式的关键差异：
| 维度 | 无容量规划 | 有容量规划 |
|---|---|---|
| 资源分配 | Request 随意填写，Limit 过高或缺失 | 基于历史百分位 + 业务等级设定 Request/Limit |
| 弹性策略 | HPA 仅依赖 CPU，无上限 | 多指标 HPA + 最大副本数硬限制 |
| 成本控制 | 按需付费，无预算概念 | 节点池预留 + 超卖比例控制 + 成本分摊标签 |
| 故障恢复 | 依赖节点自动扩缩容，延迟高 | 预留 20% 缓冲容量 + PDB 保障最小可用 |
1.2 版本漂移：集群配置的“熵增”困境
版本漂移是指集群中实际运行的资源版本（如 Deployment 镜像标签、ConfigMap 内容、Ingress 注解）与预期基线版本之间产生偏差。这种偏差通常由以下场景引发：
- 手动热修复：线上故障时直接
kubectl edit修改 Deployment，事后未同步 Git 仓库。 - 多环境不一致：测试环境使用
latest标签，生产环境锁定v1.2.3，但 CI/CD 未强制校验。 - Operator 自动变更：数据库 Operator 或 Service Mesh Sidecar 自动升级版本，导致与业务兼容性断裂。
- 配置泄漏：ConfigMap 被多个工作负载共享，修改后部分 Pod 未滚动更新，新旧配置混用。
风险警示：版本漂移是“慢刀子割肉”式的隐患。单个 Pod 的镜像偏差可能不会立即引发故障，但当故障发生时，排查链路会因版本不一致而变得极其困难，MTTR（平均修复时间）可能延长 3~5 倍。
下图展示了版本漂移的典型演进路径：
1.3 联合治理：为什么是 Kyverno？
Kubernetes 原生提供了 PodSecurityPolicy（已废弃）和 ValidatingAdmissionWebhook 作为准入控制手段，但它们在版本漂移治理场景中存在明显短板：
- 策略编写成本高：Webhook 需要开发、部署和维护独立的 HTTP 服务，且策略逻辑与集群耦合。
- 缺乏 GitOps 原生集成：无法直接比对资源实际状态与 Git 仓库中的期望状态。
- 审计与报告能力弱：原生准入控制器不提供策略违规的聚合报表和自动修复能力。
Kyverno 作为 CNCF 毕业项目，专为 Kubernetes 策略引擎而生，其核心能力完美覆盖版本漂移治理需求：
| 治理需求 | Kyverno 能力 | 实现方式 |
|---|---|---|
| 镜像版本锁定 | verifyImages 规则 | 强制镜像标签必须匹配正则，拒绝 latest 或无标签镜像 |
| 配置一致性校验 | validate 规则 + 变量 | 比对 ConfigMap 内容与预期 Hash，拒绝不一致的更新 |
| 自动修复漂移 | mutate 规则 + 补丁生成 | 自动将 Deployment 镜像标签修正为基线版本 |
| 审计与报告 | PolicyReport CRD | 聚合集群中所有策略违规事件，支持 Prometheus 集成 |
| 容量配额控制 | validate 规则 + 计算 | 校验 Pod Request/Limit 是否在允许范围内，拒绝超配额部署 |
课程定位：本课程不单独讲容量规划理论，也不单独讲 Kyverno 语法，而是将两者结合——用 Kyverno 策略来强制执行容量规划基线，同时用容量规划数据来驱动策略参数的动态调整。最终实现“规划即策略，策略即代码”的闭环治理。
1.4 课程核心架构
下图展示了容量规划与 Kyverno 联合治理的整体架构：
1.5 你将收获什么
通过本课程的学习，你将掌握以下核心能力：
- 容量规划方法论：基于 Prometheus 历史数据计算 Request/Limit 推荐值，设计节点池预留策略，制定 HPA 弹性边界。
- Kyverno 策略编写：从 validate/mutate/verifyImages 等规则入手，编写可复用的版本漂移治理策略。
- 联合治理实战：将容量规划基线参数注入 Kyverno 策略，实现“规划即策略”的自动化治理流水线。
- 审计与持续改进：利用 PolicyReport 和 Prometheus 监控策略违规趋势，持续优化容量规划基线。
前置要求：建议具备 Kubernetes 基础操作经验（kubectl、YAML 编写），了解 Prometheus 基础指标查询。无需 Kyverno 经验，课程将从零开始讲解策略语法。