1. 课程导论：Operator模式与配置合规性挑战概述，Kyverno在Kubernetes安全生态中的定位
1.1 Operator模式：自动化运维的核心引擎
在Kubernetes生态中，Operator是一种将运维知识编码为软件的扩展机制。它通过自定义资源（CRD）和控制器循环，将人类运维人员的领域知识转化为自动化的、可重复的集群管理逻辑。Operator不仅管理应用的生命周期，还负责备份、恢复、扩缩容、配置更新等复杂任务。
然而，Operator的引入也带来了新的安全与合规挑战：
- 权限膨胀：Operator通常需要跨命名空间甚至集群级别的权限，一旦被攻破，攻击者可获得集群控制权。
- 配置漂移：Operator自动生成的资源配置可能偏离组织基线，导致安全策略失效。
- 不可控的变更：Operator的控制器循环可能绕过人工审批，直接修改集群状态。
- 供应链风险：第三方Operator可能包含恶意代码或依赖漏洞。
核心矛盾：Operator提升了运维效率，但降低了集群配置的可审计性与可控性。传统的手工审核方式无法应对Operator的自动化、高频次变更。
1.2 配置合规性挑战：从静态检查到运行时准入
Kubernetes集群的配置合规性通常涉及以下维度：
| 合规维度 | 典型要求 | Operator带来的挑战 |
|---|---|---|
| 安全基线 | 禁止特权容器、禁止hostNetwork、限制seccomp | Operator可能动态创建特权Pod，绕过初始检查 |
| 资源配额 | 设置CPU/内存限制、禁止无限资源 | Operator自动扩缩容可能超出配额边界 |
| 网络策略 | 默认拒绝入站、仅允许特定服务访问 | Operator可能创建Service暴露非预期端口 |
| 标签与注解 | 强制添加owner、环境、成本中心标签 | Operator生成的资源可能缺失必要标签 |
| 镜像来源 | 仅允许私有仓库、禁止latest标签 | Operator可能拉取外部镜像，引入供应链风险 |
传统合规工具（如静态扫描、CI/CD门禁）只能检查部署前的YAML文件，无法拦截Operator在运行时动态生成的资源。这正是准入控制（Admission Control）发挥作用的地方。
1.3 Kyverno在Kubernetes安全生态中的定位
Kyverno是一个为Kubernetes设计的策略引擎，它作为动态准入控制器（Dynamic Admission Controller）运行，在API Server处理资源请求时进行拦截、验证、变更或生成。与OPA/Gatekeeper等策略引擎相比，Kyverno采用Kubernetes原生资源（Policy/ClusterPolicy）定义策略，无需学习专用的策略语言（如Rego）。
下图展示了Kyverno在Kubernetes安全生态中的核心位置：
1.4 Kyverno的核心能力与优势
Kyverno在Kubernetes安全生态中扮演着策略执行点（Policy Enforcement Point）的角色，其核心能力包括：
- 验证（Validate）：拒绝违反策略的资源请求，如禁止特权容器、强制标签。
- 变更（Mutate）：自动修改资源请求，如注入sidecar、添加默认标签。
- 生成（Generate）：根据策略自动创建关联资源，如为每个命名空间创建NetworkPolicy。
- 镜像验证（Image Verification）：在Pod创建前验证容器镜像签名与来源。
- 清理（Cleanup）：基于策略自动删除过期或不符合要求的资源。
与同类工具相比，Kyverno的差异化优势如下：
| 特性 | Kyverno | OPA/Gatekeeper | 原生RBAC |
|---|---|---|---|
| 策略语言 | YAML（Kubernetes原生） | Rego（专用语言） | 无 |
| 学习曲线 | 低（熟悉K8s即可） | 高（需学习Rego） | 低 |
| 变更能力 | 内置（Mutate） | 需额外配置 | 无 |
| 生成能力 | 内置（Generate） | 需自定义 | 无 |
| 镜像验证 | 内置（Cosign集成） | 需外部工具 | 无 |
| Operator感知 | 原生支持（拦截所有API请求） | 需额外规则 | 不适用 |
课程重点：本课程将聚焦于如何利用Kyverno的验证与变更能力，构建针对Operator行为的准入控制策略，确保集群配置始终符合组织合规基线。
1.5 Operator与Kyverno的交互流程
下图展示了Operator创建资源时，Kyverno如何介入并执行策略检查：
1.6 课程目标与学习路径
通过本课程，您将掌握：
- Kyverno基础：安装、配置、策略语法与调试方法。
- Operator行为分析：识别Operator的权限模型、资源创建模式与潜在风险。
- 策略实战：编写针对Operator的验证、变更与生成策略。
- 合规自动化：将Kyverno集成到CI/CD与审计流程中。
- 故障排查：处理策略冲突、性能优化与日志分析。
前置要求：建议学员具备Kubernetes基础操作经验（kubectl、Pod、Deployment、Service），了解RBAC与CRD基本概念。无需Rego或OPA经验。