1. 课程导论：OPA Gatekeeper 是什么、为什么需要控制镜像拉取流量、课程目标与前置知识
1.1 OPA Gatekeeper 是什么
OPA Gatekeeper 是 Kubernetes 原生的 准入控制器（Admission Controller），它基于 Open Policy Agent（OPA） 策略引擎，允许集群管理员以声明式的方式定义、审计和执行安全与合规策略。Gatekeeper 通过 ConstraintTemplate（约束模板）和 Constraint（约束实例）两个核心 CRD 将 OPA 的 Rego 策略语言与 Kubernetes 资源生命周期紧密结合。
核心定位：策略即代码（Policy as Code）—— 将安全规则、合规要求、运维规范转化为可版本化、可测试、可自动执行的策略，在资源创建或更新时实时拦截违规请求。
Gatekeeper 的工作流程可以概括为：
- 用户向 API Server 提交资源请求（如创建 Pod）。
- API Server 将请求转发给 Gatekeeper 的 Webhook。
- Gatekeeper 根据已加载的 Constraint 和 ConstraintTemplate 执行 Rego 策略。
- 若违反策略，请求被拒绝并返回错误信息；若通过，请求继续流转至 etcd 持久化。
1.2 为什么需要控制镜像拉取流量
在 Kubernetes 集群中，镜像拉取是 Pod 启动的关键环节。如果不对镜像拉取流量进行权限控制，可能面临以下风险：
| 风险类别 | 具体问题 | 潜在后果 |
|---|---|---|
| 镜像来源不可控 | 开发者或恶意用户从公共仓库拉取未审核的镜像 | 引入漏洞、后门或恶意代码 |
| 镜像拉取凭证泄露 | Pod 配置中硬编码私有仓库的认证信息 | 凭证被窃取，导致数据泄露或资源滥用 |
| 拉取频率无限制 | 大量 Pod 同时从同一仓库拉取镜像 | 仓库限流、网络带宽耗尽、集群启动延迟 |
| 镜像标签不固定 | 使用 :latest 或可变标签 |
不同节点拉取到不同版本，导致行为不一致 |
| 绕过私有仓库策略 | Pod 直接引用外部镜像，绕过企业合规检查 | 违反安全合规要求（如 SOC2、PCI-DSS） |
关键洞察：镜像拉取流量不仅仅是网络层面的问题，更是安全策略和合规治理的薄弱环节。通过 OPA Gatekeeper 可以在准入阶段强制约束镜像来源、凭证使用方式和拉取行为，将安全左移到开发部署的最前端。
1.3 课程目标
本课程旨在帮助学员掌握使用 OPA Gatekeeper 对 Kubernetes 集群中镜像拉取流量进行精细化权限控制的能力。完成本课程后，学员将能够：
- 理解 OPA Gatekeeper 的架构、CRD 模型和 Rego 策略语言基础。
- 编写 针对镜像拉取场景的 ConstraintTemplate 和 Constraint，包括：强制使用私有仓库、禁止
:latest标签、校验镜像摘要（digest）、限制拉取凭证来源。 - 部署 和测试 Gatekeeper 策略，使用
kubectl和gator工具验证策略效果。 - 审计 现有集群中的镜像拉取违规行为，并生成合规报告。
- 集成 策略到 CI/CD 流水线，实现部署前的自动合规检查。
1.4 前置知识
为获得最佳学习体验，建议学员具备以下基础：
| 领域 | 具体要求 | 推荐资源 |
|---|---|---|
| Kubernetes 基础 | 理解 Pod、Deployment、Namespace、ServiceAccount 等核心资源；熟悉 kubectl 常用命令 |
Kubernetes 官方文档“入门”部分 |
| Kubernetes 安全概念 | 了解 RBAC、准入控制器（Admission Controller）、Webhook 的基本原理 | Kubernetes 安全最佳实践指南 |
| 容器镜像基础 | 理解镜像仓库、标签（tag）、摘要（digest）、拉取凭证（imagePullSecrets）的概念 | Docker 官方文档“镜像”章节 |
| YAML 编写能力 | 能够阅读和编写 Kubernetes 资源 YAML 清单 | YAML 入门教程 |
学习建议：如果你对 Rego 语言完全陌生，不必担心。本课程将在第 3 章专门讲解镜像拉取场景所需的 Rego 语法子集，并提供可直接复用的策略模板。建议先搭建一个测试集群（如 minikube 或 kind），以便跟随课程进行实操练习。