VIP20
本课程属于：030-云原生安全基线容量水位巡检 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

Gatekeeper安全基线策略开发与合规巡检

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
课程导论
OPA Gatekeeper 在云原… · 课程目标与学习路径
课程导论OPA
02
OPA 与 Rego 基础
OPA 架构 · Rego 语言核心概念（规则 · 查询
OPARego
03
Gatekeeper 架构解析
Admission Webhook · Constraint Framewo… · 数据复制
Gatekeeper架构解析
04
安装与部署
使用 Helm 安装 Gatekee… · 配置参数 · 验证部署状态
安装部署
05
第一个约束模板（ConstraintTemplate）
编写 Rego 规则 · 禁止特权容器
ConstraintTe…第一个约束模板
06
第一个约束（Constraint）
创建 Constraint 资源 · 绑定模板并生效
Constraint第一个约束
07
约束与模板的生命周期管理
更新 · 回滚 · 删除约束与模板
约束模板的生命周期管…
08
集群安全基线概述
CIS Benchmark · NSA/CISA Kubernete…
集群安全基线概述CIS
09
Pod 安全标准（PSA）与 Gatekeeper 映射
Privileged · Baseline · Restricted
PodPSA
10
禁止 hostNetwork 与 hostPID
编写 Rego 规则拒绝高危主机共享
hostNetworkhostPID
11
限制容器用户为非 root
强制 runAsNonRoot 与…
root限制容器用户为非
12
只读根文件系统与禁止特权提升
readOnlyRootFilesy… · allowPrivilegeEsca…
只读根文件系统禁止特权提升
13
限制 Linux Capabilities
使用 Rego 白名单/黑名单管理…
LinuxCapabilities
14
强制资源限制（Resource Quota）
约束 CPU/Memory requ…
ResourceQuota
15
禁止挂载敏感主机路径
拒绝 /var/run/docker… · /proc · /sys 等
禁止挂载敏感主机…var/run/dock…
16
网络策略约束
强制 Namespace 必须定义…
网络策略约束Namespace
17
镜像来源白名单
只允许从受信任的镜像仓库拉取镜像
镜像来源白名单只允许从受信任的…
18
禁止使用 latest 镜像标签
强制指定语义化版本标签
latest禁止使用
19
准入控制与审计模式
dryrun · warn · deny 三种模式配置与对比
准入控制审计模式
20
约束的匹配与排除
labelSelector · namespaceSelector · excludedNamespaces
约束的匹配排除
21
数据注入与外部数据源
利用 data.inventory…
数据注入外部数据源
22
Gatekeeper 审计功能
审计扫描 · 审计结果查看 · 审计状态报告
Gatekeeper审计功能
23
自定义审计报告
使用 ConstraintPodSt…
自定义审计报告ConstraintPo…
24
Gatekeeper 与 CI/CD 集成
在 Pipeline 中预检 YAM…
GatekeeperCI/CD
25
Gatekeeper 与 Kyverno 对比
策略引擎选型分析
GatekeeperKyverno
26
多集群策略管理
使用 GitOps 分发约束与模板
多集群策略管理GitOps
27
性能调优与最佳实践
缓存 · 匹配规则优化 · Rego 性能技巧
性能调优最佳实践
28
故障排查与日志分析
常见错误 · 调试 Rego 规则 · 查看 Webhook 日志
故障排查日志分析
29
实战案例一
构建生产级 Pod 安全基线策略集
实战案例一Pod
30
实战案例二
构建合规性巡检 Dashboard…
实战案例二Dashboard