1. 课程导论：Deployment安全基线的重要性、容量规划与OPA策略的关系

1.1 为什么Deployment需要安全基线？

在Kubernetes生产环境中，Deployment是最常用的工作负载控制器。然而，默认的Deployment配置往往存在大量安全盲区：特权容器、资源无限制、只读根文件系统未启用、hostNetwork暴露等。这些配置缺陷一旦被利用，可能导致容器逃逸、节点沦陷甚至整个集群的横向移动。

安全基线（Security Baseline）是一组经过验证的最小权限配置集合，它确保每个Deployment在创建时即满足组织安全策略，而非事后补救。基线覆盖以下核心维度：

1.2 容量规划与OPA策略的内在关系

容量规划（Capacity Planning）与OPA（Open Policy Agent）策略看似分属资源管理和策略引擎两个领域，但在Deployment安全基线中，二者紧密耦合：

• 资源约束是安全的第一道防线： 未设置资源limits的Pod可能因内存泄漏导致节点OOM，进而影响同节点其他工作负载——这是可用性安全事件。OPA可以强制每个Deployment必须包含resources.limits。
• 配额与策略联动： 容量规划定义集群资源上限（如每个命名空间CPU总量），OPA策略则确保单个Deployment的资源声明不超过配额阈值，防止“大容器”挤占其他Pod。
• 弹性边界安全： HPA（水平自动扩缩）的min/max副本数必须受OPA约束，避免恶意扩缩耗尽集群资源。

1.3 课程目标与受众

本课程旨在帮助DevOps和安全团队建立一套可落地、可审计的Deployment安全基线体系，核心产出包括：

• 容量规划模板： 基于实际业务负载的requests/limits计算公式，以及命名空间配额设计模式。
• OPA约束策略库： 针对Deployment的Rego策略代码，覆盖权限、资源、网络、存储等安全维度。
• CI/CD集成方案： 将OPA策略嵌入GitOps流水线（如Flux/ArgoCD），实现“策略即代码”。
• 审计与监控： 基于OPA决策日志的合规仪表板，实时展示违规Deployment。

1.4 课程结构概览

全课程共30章，分为四个模块：

1. 基础篇（第1-8章）： 安全基线概念、容量规划方法论、OPA部署与Rego语法。
2. 策略篇（第9-18章）： 逐维度编写Deployment约束策略（权限、资源、网络、存储、探针）。
3. 集成篇（第19-25章）： 与GitOps、Helm、Kustomize、CI/CD工具链集成。
4. 运营篇（第26-30章）： 策略测试、审计日志、违规告警、策略版本管理。

1.5 课程交付物预览

完成本课程后，你将获得以下可直接用于生产环境的资产：

• 容量规划计算器： 基于Prometheus历史指标自动生成requests/limits建议值的Python脚本。
• OPA约束模板库： 30+个Rego策略文件，覆盖Deployment、StatefulSet、DaemonSet等常见工作负载。
• GitOps集成示例： 基于Flux的Kustomize overlay，包含OPA策略同步与违规阻断配置。
• 审计仪表板： Grafana Dashboard JSON，展示OPA决策拒绝率、违规分布、资源超限趋势。