1. 课程导论：容量规划与 OPA Gatekeeper 的关系、自动化巡检的价值、课程目标与受众
1.1 为什么容量规划需要 OPA Gatekeeper？
在云原生环境中，Kubernetes 集群的容量管理面临两大挑战：资源碎片化与配置漂移。传统容量规划依赖人工巡检和事后告警，无法在资源分配阶段进行策略干预。OPA Gatekeeper 作为 Kubernetes 的准入控制器，能够在 Pod 创建、更新时执行策略检查，将容量规划从“被动响应”转变为“主动治理”。
核心关系：容量规划定义“应该怎么做”（资源配额、节点水位、Pod 密度），OPA Gatekeeper 确保“实际怎么做”（实时拦截违规请求、审计历史资源）。
| 维度 | 传统容量规划 | OPA Gatekeeper 驱动的容量规划 |
|---|---|---|
| 策略执行时机 | 事后（监控告警后人工介入） | 事前（资源创建时自动拦截） |
| 策略变更效率 | 修改 YAML + 重新部署 | 修改 ConstraintTemplate 即时生效 |
| 合规审计 | 手动导出资源清单 | 自动生成审计结果（Audit） |
| 多集群一致性 | 依赖脚本同步 | GitOps + Gatekeeper 策略即代码 |
1.2 自动化巡检的核心价值
基于 OPA Gatekeeper 的自动化巡检，将容量规划从“静态文档”升级为“动态治理闭环”。其价值体现在四个层面：
- 预防性治理：在资源创建时即拦截超配额、超节点水位的请求，避免集群过载。
- 持续合规：通过 Gatekeeper Audit 功能，定期扫描集群中已有资源，发现历史违规。
- 策略即代码：容量规划策略以 Rego 代码形式管理，支持 Git 版本控制、Code Review、自动化测试。
- 多集群统一：一套策略模板可部署到多个集群，确保容量规划标准一致。
实践案例：某金融科技公司通过 Gatekeeper 约束所有 Namespace 的 ResourceQuota 上限，结合巡检脚本每日生成“容量健康度评分”，将集群资源碎片率从 35% 降至 12%。
1.3 课程目标与受众
| 角色 | 课程收益 | 前置知识 |
|---|---|---|
| 平台工程师 / SRE | 掌握 Gatekeeper 约束编写、审计配置、巡检流水线搭建 | Kubernetes 基础、YAML 编写 |
| 云原生架构师 | 理解容量规划策略与 Gatekeeper 的集成模式、多集群治理方案 | Kubernetes 架构、OPA 基本概念 |
| DevOps 工程师 | 学会将容量巡检集成到 CI/CD 流水线，实现策略自动化验证 | GitOps 流程、CI/CD 工具使用 |
| 安全合规工程师 | 利用 Gatekeeper 审计日志满足容量合规审计要求 | 合规框架基础 |
1.4 课程内容全景
本课程共 30 章，分为四大模块：
- 基础篇（第 1-8 章）：容量规划模型、Gatekeeper 安装与约束语法、Rego 策略入门。
- 策略篇（第 9-16 章）：资源配额约束、节点水位约束、Pod 密度约束、自定义容量指标。
- 巡检篇（第 17-24 章）：审计配置、巡检脚本开发、告警集成、巡检报告生成。
- 进阶篇（第 25-30 章）：多集群策略分发、GitOps 集成、容量规划策略自动化测试、生产案例。
1.5 学习路径建议
⚠️ 重要提示：本课程所有策略示例均基于 OPA Gatekeeper v3.14+ 和 Kubernetes v1.26+。请确保实验环境满足版本要求。建议准备一个至少 3 节点的测试集群，并安装 Helm 3.8+。
对于不同角色的学习者，推荐以下学习路径：
- 快速上手（平台工程师）：基础篇 → 策略篇 → 巡检篇，跳过进阶篇的 GitOps 深度内容。
- 架构设计（云原生架构师）：基础篇 → 策略篇 → 进阶篇，巡检篇按需选学。
- 全栈掌握（DevOps 工程师）：按顺序学习全部 30 章，每章完成课后实验。