1. 课程概述：Kyverno简介、镜像安全水位概念、变更门禁与回滚判断的业务价值
1.1 为什么需要镜像安全水位与变更门禁
在云原生环境中，容器镜像从构建到部署经历了多个环节：代码提交、镜像构建、镜像扫描、环境部署。传统做法往往在CI阶段进行镜像扫描，但扫描结果仅作为“报告”输出，无法在Kubernetes集群侧强制阻断不合规镜像的部署。一旦开发人员或自动化流水线将带有高危漏洞或违反安全策略的镜像推送到生产集群，就会带来严重的安全风险。
本课程的核心思路是：在Kubernetes集群入口处，通过Kyverno策略引擎对镜像的“安全水位”进行实时校验，形成变更门禁；当水位不达标时，自动拒绝变更，并触发回滚判断逻辑。
1.2 Kyverno简介
Kyverno是专为Kubernetes设计的策略引擎，它使用Kubernetes原生资源（Policy、ClusterPolicy）来定义策略，无需编写Webhook或Admission Controller代码。Kyverno以动态准入控制（Dynamic Admission Control）的方式拦截资源创建、更新请求，并根据策略规则进行验证、变更或生成操作。
| 特性 | 说明 |
|---|---|
| 策略类型 | Validate（验证）、Mutate（变更）、Generate（生成） |
| 匹配方式 | 按资源类型、标签、命名空间、注解等条件匹配 |
| 数据来源 | 支持从ConfigMap、外部API、OCI制品仓库等获取外部数据 |
| 集成方式 | 以Deployment运行在集群内，自动注册MutatingWebhookConfiguration和ValidatingWebhookConfiguration |
| 策略语言 | YAML/JSON格式，支持JMESPath表达式进行字段提取和条件判断 |
在本课程中，我们将重点使用Kyverno的Validate能力，结合外部数据（镜像扫描结果）实现镜像安全水位的动态校验。
1.3 镜像安全水位概念
镜像安全水位是指为容器镜像定义的一组安全质量阈值，当镜像的扫描结果满足这些阈值时，认为该镜像达到“可部署”的安全标准。安全水位通常包含以下维度：
- 漏洞等级阈值： 允许存在的最高漏洞等级（如：不允许存在Critical漏洞，High漏洞数量不超过5个）
- 漏洞数量阈值： 各等级漏洞的最大允许数量
- 基础镜像合规： 基础镜像必须来自受信任的仓库或经过审批的镜像列表
- 签名验证： 镜像必须经过数字签名且验证通过
- 软件物料清单（SBOM）： 镜像必须附带SBOM且与扫描结果一致
| 安全水位等级 | Critical漏洞 | High漏洞 | Medium漏洞 | Low漏洞 | 典型场景 |
|---|---|---|---|---|---|
| L1 - 严格 | 0 | 0 | ≤3 | ≤10 | 生产环境核心服务 |
| L2 - 中等 | 0 | ≤2 | ≤10 | ≤20 | 生产环境非核心服务 |
| L3 - 宽松 | ≤1 | ≤5 | ≤20 | 无限制 | 开发/测试环境 |
1.4 变更门禁与回滚判断的业务价值
变更门禁是指在Kubernetes资源变更（创建、更新）时，通过Kyverno策略自动校验镜像安全水位，只有水位达标的变更才被允许执行。这相当于在集群入口处设置了一道安全闸门。
回滚判断是指当变更被拒绝后，系统自动判断是否需要将资源回滚到上一个安全版本。回滚判断的触发条件通常包括：
- 当前运行版本的水位低于新版本但高于最低可接受水位
- 当前运行版本存在已知漏洞但无可用补丁
- 回滚操作本身不会引入新的安全风险
变更门禁与回滚判断结合，形成完整的安全变更闭环：
业务价值总结：
| 价值维度 | 具体收益 |
|---|---|
| 安全左移 | 将镜像安全校验从CI阶段延伸到Kubernetes部署阶段，形成双重保障 |
| 自动化决策 | 减少人工审批环节，基于策略自动允许或拒绝变更，提升交付效率 |
| 风险可控 | 通过水位阈值量化安全风险，避免高危漏洞进入生产环境 |
| 回滚自动化 | 拒绝变更后自动判断回滚条件，减少故障恢复时间（MTTR） |
| 审计合规 | 所有变更门禁和回滚操作均有策略记录和事件日志，满足合规审计要求 |
1.5 课程学习路径
本课程共30章，分为以下五个模块：
- 基础篇（第1-5章）： Kyverno基础、镜像安全水位定义、策略编写入门
- 门禁实现篇（第6-15章）： 基于镜像扫描结果的Validate策略、外部数据源集成、水位动态配置
- 回滚判断篇（第16-22章）： 回滚条件定义、历史版本追踪、自动回滚触发器
- 流水线集成篇（第23-27章）： 与GitLab CI/Jenkins/ArgoCD集成、策略即代码（Policy as Code）
- 生产实践篇（第28-30章）： 多集群策略管理、性能调优、故障排查与监控
通过本课程的学习，你将掌握如何利用Kyverno在Kubernetes集群中构建镜像安全水位的变更门禁和回滚判断机制，实现安全、自动化的云原生部署流程。