集群升级容量评估与Kyverno安全准入校验 - 第1节
1.1 集群升级面临的三大核心挑战
Kubernetes 版本迭代周期不断加速（约每 3 个月一个次要版本），生产环境集群升级已成为运维团队最高频、最高风险的操作之一。根据 CNCF 年度调查，超过 60% 的生产事故与版本升级直接或间接相关。以下是集群升级过程中最常见的三大挑战：
| 挑战维度 | 典型表现 | 影响范围 |
|---|---|---|
| 资源容量风险 | 升级过程中节点池缩容/扩容、Pod 驱逐重建导致资源水位剧烈波动，触发 OOM 或 Pending | 在线服务可用性、批处理任务中断 |
| API 兼容性断裂 | 废弃 API 版本在目标版本中被移除，存量资源无法通过新版 kube-apiserver 读取 | CI/CD 流水线、监控告警、自定义控制器 |
| 安全策略失效 | PodSecurityPolicy 被废弃后未迁移至 Pod Security Admission 或 Kyverno，特权容器失控 | 集群合规基线、多租户隔离 |
⚠️ 常见误区：很多团队只关注控制平面版本升级，忽略了对节点池、CSI 驱动、CNI 插件、Webhook 配置的容量与兼容性预检，导致升级后集群功能降级甚至不可用。
1.2 容量评估与安全校验：升级前的两道防线
在升级操作真正执行之前，必须完成两项关键预检工作：容量评估和安全规则校验。二者互为补充，共同构成升级前的“安”。
1.2.1 容量评估：确保集群有足够的“余量”承受升级扰动
升级过程中，kubelet 会逐节点驱逐 Pod，触发重新调度。如果集群剩余资源不足，大量 Pod 将陷入 Pending 状态，甚至引发级联故障。容量评估的核心指标包括：
- 节点资源利用率：CPU、内存、磁盘、PID 的当前水位与升级期间峰值预测
- Pod 分布密度：单节点最大 Pod 数、DaemonSet 预留资源、关键工作负载反亲和约束
- 临时存储与卷容量：emptyDir、hostPath、PVC 的可用空间是否满足升级期间日志与缓存增长
- 控制平面资源：etcd 存储大小、kube-apiserver 请求 QPS 余量、调度器队列深度
📊 容量评估工具链：推荐使用
cluster-autoscaler 模拟器、kube-capacity CLI、Prometheus + Grafana 历史趋势面板，以及自定义 descheduler 策略进行预演。
1.2.2 安全规则校验：确保升级不破坏合规基线
Kubernetes 1.25 起正式移除 PodSecurityPolicy（PSP），推荐使用 Kyverno 或 OPA/Gatekeeper 作为替代方案。安全校验需要覆盖以下维度：
| 校验类别 | Kyverno 规则示例 | 升级前必须通过 |
|---|---|---|
| Pod 安全标准 | 禁止 privileged 容器、禁止 hostPID/hostNetwork | ✅ 是 |
| 镜像来源 | 只允许来自可信仓库的镜像 | ✅ 是 |
| 资源限制 | 强制设置 requests/limits，禁止无限资源 | ✅ 是 |
| 网络策略 | 校验 NetworkPolicy 是否覆盖所有命名空间 | ✅ 是 |
| 废弃 API 检测 | 拦截使用已废弃 API 版本的资源创建 | ✅ 是 |
💡 最佳实践：在升级前至少 2 周，将 Kyverno 策略设置为
enforce 模式（而非 audit），提前暴露所有违反安全基线的工作负载，避免升级当天才发现问题。
1.3 课程目标与学习路径
本课程旨在帮助学员建立一套可落地、可重复、可审计的集群升级前检查体系。完成本课程后，你将能够：
- 独立完成生产级集群的升级前容量评估，输出资源余量报告与风险清单
- 设计并部署 Kyverno 安全规则集，覆盖 Pod 安全标准、镜像策略、废弃 API 检测等核心场景
- 自动化执行升级前校验流水线，将容量检查与策略验证集成到 CI/CD 或 Operator 中
- 应对升级过程中常见的容量告警与策略冲突，快速制定回退或缓解方案
课程学习路径分为四个阶段，建议按顺序完成：
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础篇 | 第 1-5 章 | 理解升级风险模型，掌握容量评估指标与 Kyverno 策略语法 |
| 实践篇 | 第 6-15 章 | 完成真实集群的容量扫描、Kyverno 规则编写与冲突排查 |
| 自动化篇 | 第 16-25 章 | 构建升级前校验流水线，集成 Prometheus 告警与 GitOps 策略同步 |
| 进阶篇 | 第 26-30 章 | 多集群统一校验、自定义 Kyverno 插件、升级后验证与回滚自动化 |
🎯 前置要求：学员需具备 Kubernetes 集群管理基础（kubectl、节点操作、Pod 调度）、YAML 编写能力，以及基本的 Linux 命令行操作经验。建议提前准备一个测试集群（版本 ≥ 1.23）用于实验。