1. 课程导论：多集群架构下的镜像拉取安全挑战
1.1 多集群架构下的镜像拉取安全挑战
随着企业采用多集群 Kubernetes 架构（如联邦集群、Hub-Spoke 模式、跨地域灾备集群），镜像拉取的安全边界从单一集群扩展为跨网络、跨身份、跨策略的复杂环境。核心挑战集中在以下三个维度：
| 挑战维度 | 具体风险 | 典型场景 |
|---|---|---|
| 凭证分发 | 镜像仓库凭证明文传输、跨集群同步时泄露、密钥轮转不一致 | 生产集群与开发集群共用同一仓库 Secret，导致权限扩散 |
| 网络隔离 | 集群间网络策略（NetworkPolicy）阻断镜像拉取流量、出口代理配置缺失 | Spoke 集群无法通过 Hub 集群的镜像代理拉取私有仓库镜像 |
| 策略一致性 | 各集群镜像拉取策略（ImagePullPolicy、镜像签名验证）不统一，导致部署失败或安全漏洞 | 集群 A 启用 Always 拉取，集群 B 使用 IfNotPresent，版本漂移 |
关键洞察： 多集群镜像拉取安全的核心矛盾在于“Deployment 声明式期望”与“网络策略实际可达性”之间的鸿沟。一个 Deployment 在集群 A 可以正常拉取镜像，但在集群 B 可能因 NetworkPolicy 拒绝出口流量而失败。
1.2 Deployment 与网络策略的关联
Deployment 作为工作负载的声明式控制器，其 Pod 的镜像拉取行为受 Kubernetes 网络策略的直接影响。下图展示了 Deployment、Pod、镜像仓库与 NetworkPolicy 之间的核心交互关系：
实践提示： 在多集群环境中，NetworkPolicy 通常由集群管理员统一管控，而 Deployment 由应用团队管理。两者之间的策略鸿沟是镜像拉取失败的首要原因。建议在 CI/CD 流水线中增加 NetworkPolicy 合规性检查步骤。
1.3 课程目标与学习路径
本课程旨在帮助学员系统掌握在多集群 Kubernetes 环境下，通过 Deployment 与 NetworkPolicy 的协同配置，实现安全、可控的镜像拉取能力。课程目标分为三个层级：
- 理解层： 掌握多集群镜像拉取的威胁模型、NetworkPolicy 的出口/入口规则原理、Deployment 的镜像拉取生命周期。
- 实践层： 能够编写跨集群的 NetworkPolicy 规则、配置镜像拉取 Secret 的安全分发、使用 OPA/Gatekeeper 进行策略审计。
- 架构层： 设计多集群镜像拉取的零信任网络架构，实现镜像仓库的细粒度访问控制与凭证自动轮转。
学习路径分为以下五个阶段，每个阶段对应课程中的若干章节：
| 阶段 | 核心内容 | 对应章节 |
|---|---|---|
| 基础夯实 | Deployment 镜像拉取机制、NetworkPolicy 基础语法、多集群网络模型 | 第 2-5 章 |
| 安全加固 | 镜像拉取凭证管理（Secret/External Secrets）、签名验证（Notation/Cosign） | 第 6-10 章 |
| 策略编排 | 跨集群 NetworkPolicy 模板化、策略即代码（Policy-as-Code） | 第 11-15 章 |
| 自动化与观测 | 镜像拉取失败告警、策略冲突检测、GitOps 流水线集成 | 第 16-22 章 |
| 实战案例 | 金融级多集群镜像拉取方案、跨云灾备场景、零信任架构落地 | 第 23-30 章 |
下图展示了课程学习路径的递进关系：
前置要求： 学员需具备 Kubernetes 基础操作能力（kubectl、Pod/Deployment/Service 基本概念），了解容器镜像仓库的基本使用。建议先完成《Kubernetes 入门实战》或同等课程。