1. 课程导论：安全基线巡检的背景与挑战、Kyverno 与 OPA 概述、课程目标与学习路径
1.1 安全基线巡检的背景与挑战
在云原生环境中，Kubernetes 集群的配置复杂度呈指数级增长。安全基线巡检是指依据行业标准（如 CIS Kubernetes Benchmark、NSA/CISA 指南）或企业内部规范，对集群的运行时配置、资源对象定义、网络策略、RBAC 权限等进行持续检查，确保集群状态始终处于合规的安全水位。
然而，传统巡检方式面临三大核心挑战：
- 配置漂移难以追踪：手动巡检无法应对频繁的 Pod 调度、配置变更与版本升级，安全基线在数小时内就可能被“漂移”破坏。
- 策略碎片化与执行不一致：不同团队使用不同的工具（kube-bench、kube-hunter、自定义脚本）进行巡检，策略定义分散，难以统一管理和审计。
- 缺乏准入控制与自动修复能力：多数巡检工具仅提供事后报告，无法在资源创建或更新时实时拦截违规配置，导致安全事件从“发现”到“修复”的窗口期过长。
关键数据：根据 2024 年 CNCF 安全调查报告，超过 60% 的受访企业在生产集群中至少发生过一次因配置不当导致的安全事件，其中 72% 的事件本可通过准入控制策略在部署前拦截。
1.2 Kyverno 与 OPA 概述
Kyverno 和 OPA（Open Policy Agent）是当前 Kubernetes 生态中最主流的策略引擎，两者在实现原理、策略语言和适用场景上存在显著差异。下表从多个维度进行对比：
| 对比维度 | Kyverno | OPA (Gatekeeper) |
|---|---|---|
| 策略语言 | YAML 声明式（无学习曲线） | Rego 声明式（需学习专用语法） |
| 部署模式 | Kubernetes 原生 CRD + Webhook | Admission Webhook + ConstraintTemplate |
| 策略粒度 | 支持 Mutating / Validating / Generate / Cleanup | 以 Validating 为主，支持 Mutation（需额外配置） |
| 上下文感知 | 内置 Kubernetes 资源查询（直接引用 API） | 需通过 data.inventory 或外部数据源注入 |
| 策略分发 | 支持 PolicySet / ClusterPolicy 层级聚合 | 通过 Constraint 与 ConstraintTemplate 解耦 |
| 社区生态 | Nirmata 主导，CNCF 孵化项目 | CNCF 毕业项目，生态更成熟 |
两种引擎并非互斥关系，而是互补：Kyverno 擅长快速落地 Kubernetes 原生安全策略（如强制 Pod 安全标准、禁止特权容器），OPA 则适合处理复杂的跨资源逻辑（如多租户资源配额校验、基于外部数据的动态策略）。
学习建议：对于刚接触策略引擎的团队，建议先从 Kyverno 入手，利用其 YAML 原生语法快速覆盖 80% 的常见安全基线场景；再逐步引入 OPA 处理剩余 20% 的高复杂度策略。
1.3 课程目标与学习路径
本课程旨在帮助学员掌握 Kyverno 与 OPA 的协同使用方法，构建一套覆盖“预防-检测-响应”全流程的安全基线巡检体系。具体目标如下：
- 掌握策略编写：独立编写 Kyverno ClusterPolicy 与 OPA ConstraintTemplate，覆盖 CIS 基准中 Top 20 安全配置项。
- 实现协同巡检：设计 Kyverno 负责准入拦截 + OPA 负责审计扫描的混合架构，避免策略重复或冲突。
- 自动化修复与告警：利用 Kyverno 的 generate/cleanup 能力自动修复违规资源，并通过 OPA 的审计日志触发告警。
- 生产级落地：掌握策略灰度发布、性能调优、审计日志持久化与可视化面板搭建。
课程学习路径分为四个阶段：
- 基础篇（第 1-8 章）：分别深入 Kyverno 与 OPA 的核心概念、策略语法与调试方法。
- 协同篇（第 9-16 章）：设计协同架构，实现基线策略的拆分、编排与冲突解决。
- 实战篇（第 17-24 章）：基于真实业务场景（金融、电商、SaaS）构建完整巡检流水线。
- 进阶篇（第 25-30 章）：性能优化、多集群策略管理、与 CI/CD 工具链集成。