1. 课程导论：云原生安全基线、容量水位巡检、OPA策略引擎三者的关系与课程目标
1.1 云原生环境下的三大核心挑战
在Kubernetes主导的云原生架构中，运维与安全团队面临三个相互交织的难题：安全基线的碎片化、容量水位的动态不可控、以及策略执行的分散化。传统基于边界的安全模型在容器化、微服务化的动态环境中失效，而容量管理若脱离安全上下文，极易引发资源争抢导致的拒绝服务或数据泄露。
本课程的核心命题是：如何通过OPA（Open Policy Agent）这一统一策略引擎，将安全基线与容量水位巡检整合为一条可审计、可追溯的策略执行链路，从而在云原生环境中实现精细化的权限边界控制。
核心洞察： 安全基线定义了“允许做什么”，容量水位定义了“能做什么”，OPA则作为决策引擎，在两者交集处执行“实际做什么”的实时裁决。
1.2 三要素定义与职责边界
| 要素 | 定义 | 在Kubernetes中的典型表现 | 传统痛点 |
|---|---|---|---|
| 云原生安全基线 | 一组最低安全配置要求，涵盖Pod安全、网络策略、RBAC、镜像签名等。 | 禁止特权容器、强制只读根文件系统、限制hostNetwork访问。 | 基线分散在多个YAML文件中，缺乏统一校验入口。 |
| 容量水位巡检 | 对集群资源（CPU、内存、存储、Pod密度）使用率的持续监控与阈值告警。 | 节点内存使用率超过85%时触发驱逐，命名空间Pod数量超过配额时拒绝调度。 | 巡检结果与安全策略割裂，无法联动阻断风险扩容。 |
| OPA策略引擎 | 声明式策略引擎，通过Rego语言将策略代码化，实现准入控制与审计。 | 作为Kubernetes的Admission Controller拦截资源创建请求，返回允许/拒绝。 | 策略编写门槛高，缺乏与容量数据的实时交互。 |
1.3 三者协同关系：从“孤岛”到“闭环”
三者的关系并非简单的叠加，而是形成一条数据驱动→策略决策→执行审计的闭环链路：
- 数据层： 安全基线配置（如PodSecurityStandard）与容量巡检数据（如Prometheus指标）作为输入源，统一注入OPA的数据缓存（
data）。 - 决策层： OPA通过Rego策略同时评估安全合规性与容量水位。例如：当检测到某命名空间内存使用率超过80%时，拒绝任何新增的
requests.memory大于1Gi的Pod。 - 审计层： 所有决策请求（包括允许与拒绝）均被记录为结构化审计日志，包含请求上下文、策略版本、决策理由，形成不可篡改的审计链。
课程关键目标： 学完本章后，你将能够设计出“安全基线+容量水位”联合策略的Rego代码骨架，并理解其审计日志的字段映射关系。
1.4 课程目标与学习路径
本课程共30章，从基础概念到生产级落地，覆盖以下四大能力模块：
- 模块一（第1-8章）： 理解OPA与Kubernetes集成原理，掌握Rego基础语法与数据模型。
- 模块二（第9-16章）： 构建云原生安全基线策略库，涵盖Pod安全、网络策略、RBAC合规。
- 模块三（第17-24章）： 接入容量水位数据源，设计动态阈值策略，实现资源配额与驱逐联动。
- 模块四（第25-30章）： 构建完整审计链路，对接SIEM系统，通过合规巡检报告验证策略有效性。
前置要求： 建议学员具备Kubernetes基础操作能力（kubectl、YAML编写）以及基本的Linux命令行经验。无需预先掌握Rego语言，本课程将从零开始教学。