1. 课程导论：OPA Gatekeeper 在云原生安全中的定位、课程目标与学习路径
1.1 云原生安全面临的挑战
Kubernetes 已成为云原生应用编排的事实标准，但其动态、声明式、多租户的特性也引入了新的安全攻击面。传统基于边界的安全模型在容器化、微服务化的环境中逐渐失效，安全左移与策略即代码（Policy as Code）成为业界共识。
在 Kubernetes 集群中，常见的安全风险包括：
- 特权容器与 HostPath 挂载：容器逃逸、节点文件系统暴露。
- RBAC 配置不当：过度授权、ServiceAccount 滥用。
- 镜像来源不可信：从非官方仓库拉取含漏洞或后门的镜像。
- Pod 安全标准缺失：允许 privileged、hostNetwork、hostPID 等危险配置。
- 资源配额与限制未设置：DoS 攻击、资源争抢。
- Ingress 与网络策略混乱：服务暴露面过大、东西向流量未隔离。
核心痛点：Kubernetes 原生缺乏内置的、可扩展的、声明式的准入控制策略引擎。Admission Webhook 虽然提供了扩展点，但需要自行开发、维护和升级，且难以实现策略的集中管理和审计。
1.2 OPA Gatekeeper 的定位
OPA Gatekeeper 是 CNCF 毕业项目 Open Policy Agent (OPA) 与 Kubernetes 集成的 准入控制器 Webhook。它允许用户使用高级声明式语言 Rego 编写策略，在资源创建、更新或删除时进行校验和拦截。
Gatekeeper 在云原生安全架构中的定位如下：
| 层级 | 组件/工具 | 职责 |
|---|---|---|
| 运行时安全 | Falco、AppArmor、Seccomp | 检测容器内异常行为、系统调用限制 |
| 镜像与供应链 | Trivy、Cosign、Notary | 镜像漏洞扫描、签名验证 |
| 准入控制 | OPA Gatekeeper | 资源创建/更新前策略校验，拒绝不合规配置 |
| 配置审计 | kube-bench、kube-hunter | 集群配置基线扫描、CIS Benchmark 检查 |
| 网络策略 | Calico、Cilium NetworkPolicy | Pod 间网络访问控制 |
Gatekeeper 填补了 “配置即代码” 与 “安全即代码” 之间的鸿沟，将安全策略从文档、人工审核转变为自动化、可测试、可审计的代码。
关键优势：Gatekeeper 不修改 Kubernetes 核心代码，通过 AdmissionReview 接口工作；策略变更无需重启 API Server；支持 dry-run 模式，可先审计后强制。
1.3 课程目标
通过本课程，学员将能够：
- 理解 OPA Gatekeeper 架构：掌握 ConstraintTemplate、Constraint、AdmissionReview 的核心交互流程。
- 编写 Rego 策略：从零开始编写、测试、调试 Rego 规则，覆盖 Pod 安全、网络策略、资源限制等场景。
- 构建集群安全基线：基于 CIS Kubernetes Benchmark、NSA/CISA 指南，设计 Gatekeeper 约束规则库。
- 实施策略即代码：将 Gatekeeper 策略集成到 CI/CD 流水线，实现 GitOps 安全治理。
- 审计与监控：利用 Gatekeeper 审计功能、Prometheus 指标、日志分析进行持续合规巡检。
- 生产级部署：掌握 Gatekeeper 的高可用部署、性能调优、升级策略与故障排查。
1.4 学习路径与课程结构
课程共分为 6 个模块，30 个章节，循序渐进：
| 模块 | 章节范围 | 核心内容 |
|---|---|---|
| 基础篇 | 1-5 | OPA 与 Gatekeeper 概念、安装部署、Rego 语法入门 |
| 策略开发篇 | 6-12 | ConstraintTemplate 编写、数据注入、模拟测试、常见安全策略实现 |
| 安全基线篇 | 13-18 | CIS Benchmark 映射、Pod Security Standards、网络策略、镜像策略 |
| 运维与集成篇 | 19-24 | 审计日志、Prometheus 监控、CI/CD 集成、GitOps 工作流 |
| 高级实战篇 | 25-28 | 自定义外部数据、Terraform 集成、多集群策略管理、性能优化 |
| 总结与认证 | 29-30 | 最佳实践总结、模拟面试与认证备考指南 |
1.5 OPA Gatekeeper 核心架构
下图展示了 Gatekeeper 在 Kubernetes 集群中的工作流程：
1.6 策略即代码的核心理念
Gatekeeper 将安全策略抽象为三个核心概念：
- ConstraintTemplate：使用 Rego 语言编写的策略逻辑模板，定义了校验规则和参数占位符。
- Constraint：ConstraintTemplate 的实例化，传入具体参数（如允许的镜像仓库列表、禁止的端口范围），作用于特定命名空间或集群范围。
- AdmissionReview：Kubernetes API Server 在资源持久化前发送的请求，Gatekeeper 通过 Webhook 接收并返回允许/拒绝结果。
常见误区：Gatekeeper 不是运行时安全工具，它不监控容器内进程行为；它也不是网络策略控制器，不负责实现 NetworkPolicy 的数据平面。它的核心职责是 准入控制 与 配置审计。
1.7 课程预备知识
| 知识领域 | 要求 | 建议学习资源 |
|---|---|---|
| Kubernetes 基础 | 熟悉 Pod、Deployment、Service、Namespace、RBAC 等核心资源 | Kubernetes 官方文档、CKA 备考指南 |
| Linux 基础 | 命令行操作、YAML 编写、容器概念 | 《鸟哥的 Linux 私房菜》基础篇 |
| 安全基础 | 了解容器安全、CIS Benchmark、最小权限原则 | NSA/CISA Kubernetes 安全指南 |
| 编程思维 | 理解声明式配置、条件判断、循环逻辑 | Rego 官方 Playground 入门 |
1.8 课程特色
- 实战驱动：每章配备可运行的 YAML 示例和 Rego 策略文件，提供 GitHub 仓库一键部署。
- 基线对齐：所有策略规则映射到 CIS Kubernetes Benchmark v1.24+ 和 Pod Security Standards。
- 工具链整合：涵盖 Gatekeeper 与 ArgoCD、Prometheus、Grafana、Terraform 的集成方案。
- 故障排查：专门章节讲解 Gatekeeper 日志分析、Webhook 超时处理、策略冲突调试。
学习建议：建议学员在本地使用 kind 或 minikube 搭建实验环境，跟随课程逐步部署 Gatekeeper 并编写策略。每章后的练习题请务必动手完成，以巩固 Rego 语法和策略设计思维。