4. 差异化准入核心思想：为什么需要差异化、场景分析

在 Kubernetes 节点滚动升级过程中，“一刀切”的准入策略往往导致运维事故或资源浪费。生产节点与测试节点、GPU 节点与普通 CPU 节点，对升级窗口、安全基线、资源预留的要求截然不同。差异化准入的核心思想是：根据节点角色、负载类型、安全等级，动态注入不同的策略规则，使 Policy as Code 从“全集群统一”进化为“按需适配”。

4.1 为什么需要差异化准入

统一准入策略在以下场景中暴露出严重缺陷：

4.2 场景一：生产 vs 测试节点

生产节点与测试节点在升级容忍度、安全要求、回滚策略上存在本质差异。下表列出关键对比维度：

差异化准入通过节点标签 env=production 或 env=staging 来区分策略路径。例如，在 Kyverno 中，使用 preconditions 字段匹配标签：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: node-upgrade-window
spec:
  rules:
  - name: production-window
    match:
      any:
      - resources:
          kinds:
          - Node
          selector:
            matchLabels:
              env: production
    preconditions:
      all:
      - key: "{{ request.object.metadata.annotations['upgrade.time'] }}"
        operator: NotIn
        value:
        - "02:00-05:00"
    validate:
      message: "生产节点升级仅允许在 02:00-05:00 UTC 窗口内进行。"
      deny: {}
  - name: staging-anytime
    match:
      any:
      - resources:
          kinds:
          - Node
          selector:
            matchLabels:
              env: staging
    validate:
      message: "测试节点升级无时间限制。"
      patched: true

4.3 场景二：GPU 节点 vs 普通节点

GPU 节点承载 AI/ML 训练任务，对驱动版本、显存隔离、NVIDIA 容器运行时有特殊要求。普通节点则运行通用微服务。差异化准入需要处理以下关键差异：

以下 SVG 图展示了 GPU 节点与普通节点在滚动升级中的差异化准入流程：

在 Policy as Code 实现中，GPU 节点的差异化准入通常通过 nodeSelectorTerms 或 matchExpressions 来触发：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: gpu-node-protection
spec:
  rules:
  - name: protect-gpu-driver
    match:
      any:
      - resources:
          kinds:
          - Node
          selector:
            matchExpressions:
            - key: nvidia.com/gpu.present
              operator: In
              values:
              - "true"
    validate:
      message: "GPU 节点升级前必须校验 NVIDIA 驱动版本 ≥ 525。"
      deny:
        conditions:
          any:
          - key: "{{ request.object.status.nodeInfo.kubeletVersion }}"
            operator: NotEquals
            value: "v1.28.0"  # 示例版本
  - name: preserve-gpu-labels
    mutate:
      patchStrategicMerge:
        metadata:
          labels:
            nvidia.com/gpu.present: "true"  # 强制保留

4.4 差异化准入的决策矩阵

综合以上场景，差异化准入的决策逻辑可以抽象为以下矩阵：