4. 容量水位巡检定义：集群资源（CPU/内存/存储）的阈值管理、水位告警与弹性伸缩的关系

容量水位巡检是云原生安全基线中“资源韧性”与“成本控制”的核心环节。它通过定义集群资源（CPU、内存、存储）的合理使用阈值，持续监测实际水位，并在越界时触发告警或弹性伸缩动作。OPA 在此过程中承担策略执行与合规校验的角色，确保水位管理动作不越权、不违规。

4.1 容量水位核心指标与阈值层级

集群资源的水位管理通常采用“三级阈值”模型，分别对应不同的运维响应策略。下表定义了各资源维度的典型阈值区间与含义：

4.2 水位告警分级与 OPA 审计介入点

水位告警并非简单的“超过阈值就发通知”，而是需要根据严重程度分级处理，并确保每次告警的触发条件、接收人、升级路径都经过 OPA 策略的合规校验。典型的告警分级如下：

• Info 级（绿色 → 黄色）： 触发预警水位，发送通知至运维值班群，记录审计日志。OPA 在此阶段仅做“观察与记录”，不阻断。
• Warning 级（黄色 → 红色）： 触发危险水位，自动创建工单，通知 SRE 负责人。OPA 需校验告警接收人是否在授权名单内，防止告警信息泄露。
• Critical 级（红色持续超过 5 分钟）： 触发自动弹性伸缩或资源抢占。OPA 必须校验伸缩动作的权限边界（如：是否允许跨节点池扩容、是否超出预算配额）。

4.3 弹性伸缩与 OPA 权限边界

弹性伸缩（HPA / VPA / Cluster Autoscaler）是容量水位巡检的最终执行环节。OPA 在此处扮演“门禁”角色，确保伸缩动作不违反安全基线。以下 SVG 图展示了 OPA 介入弹性伸缩决策的完整流程：

4.4 OPA 策略示例：弹性伸缩权限边界

以下 Rego 策略展示了 OPA 如何校验弹性伸缩请求的合法性。策略要求：伸缩操作必须由授权角色发起，且目标副本数不得超过集群最大 Pod 配额。

package kubernetes.admission.scaling

import data.resources.quotas

# 默认拒绝所有未明确允许的伸缩请求
default allow = false

# 允许条件：请求者角色在授权列表中，且目标副本数不超过配额
allow {
    input.request.role == "cluster-admin"
    input.request.target_replicas <= quotas.max_pods_per_cluster
}

# 允许条件：请求者角色为 namespace-admin，且目标副本数不超过 namespace 配额
allow {
    input.request.role == "namespace-admin"
    input.request.namespace == input.request.target_namespace
    input.request.target_replicas <= quotas.max_pods_per_namespace[input.request.target_namespace]
}

# 拒绝原因：权限不足
deny[{"msg": "Role not authorized for scaling operation"}] {
    not input.request.role in ["cluster-admin", "namespace-admin"]
}

# 拒绝原因：超出配额
deny[{"msg": "Target replicas exceed cluster quota"}] {
    input.request.target_replicas > quotas.max_pods_per_cluster
}

4.5 容量水位巡检的审计链路闭环

完整的容量水位巡检审计链路应包含以下环节，确保每一次水位变化、告警触发、伸缩动作都有据可查：

1. 数据采集层： Prometheus 采集集群资源指标，生成时间序列数据。
2. 水位计算层： 对比当前指标与预设阈值，生成水位状态（正常/预警/危险）。
3. 策略决策层： OPA 接收水位事件，执行权限边界与合规策略，输出 allow/deny 决策。
4. 动作执行层： 根据 OPA 决策，执行弹性伸缩、告警通知或阻断操作。
5. 审计持久化层： 将完整的决策上下文（输入指标、阈值、OPA 决策、执行结果）写入审计日志存储。

以下 SVG 图展示了审计链路中各个组件的数据流转关系：

4.6 关键设计原则总结