1. 课程概述
1.1 Cilium 版本漂移问题背景
在基于 Kubernetes 与 Cilium 构建的云原生基础设施中，版本漂移（Version Drift）是指集群内 Cilium 组件的实际运行版本与预期声明版本不一致的现象。这种不一致通常发生在以下场景：
- Helm 升级失败或中断：Operator 升级完成，但 Agent DaemonSet 滚动更新卡住。
- 节点级回滚：部分节点因镜像拉取失败或污点隔离，保留了旧版本 Agent。
- 手动运维操作：运维人员通过 kubectl edit 直接修改 DaemonSet 镜像标签，导致版本偏离。
- 多集群/多环境同步延迟：GitOps 工具（ArgoCD/Flux）同步周期内，版本状态不一致。
⚠️ 风险提示：版本漂移会导致 eBPF 程序加载失败、BPF Map 结构不兼容、NetworkPolicy 规则解析异常，严重时引发集群级网络分区或安全策略失效。
| 漂移类型 | 典型表现 | 影响范围 |
|---|---|---|
| Agent 版本漂移 | 部分节点 Cilium Agent 版本低于集群其他节点 | 该节点上所有 Pod 网络连通性 |
| Operator 版本漂移 | Operator 版本与 Agent 版本不匹配 | Identity 分配、Endpoint 同步异常 |
| CRD 版本漂移 | CiliumNetworkPolicy CRD 版本与 Agent 预期版本不一致 | 安全策略下发失败或行为异常 |
1.2 准入控制校验的重要性
Kubernetes 准入控制（Admission Control）是 API Server 请求处理链中的关键拦截点。通过 ValidatingAdmissionWebhook 或 MutatingAdmissionWebhook，可以在 Cilium 组件（Pod、DaemonSet、ConfigMap）被持久化到 etcd 之前，实时校验其版本一致性。
准入控制校验的核心价值体现在三个层面：
- 预防性拦截：在版本漂移发生前阻断非法变更，避免集群进入不一致状态。
- 自动化修复：结合 MutatingWebhook 自动注入正确的版本标签或镜像引用。
- 审计与合规：记录所有版本变更请求，满足 SOC2 / 等保合规要求。
💡 关键认知：准入控制不是事后检测，而是事中拦截。它位于 API 请求的认证、授权之后，对象持久化之前，是最后一道程序化防线。
1.3 课程目标与受众
本课程旨在建立一套可工程化落地的准入控制校验 Cilium 版本漂移的测试验证流程。课程结束后，学员将具备以下能力：
- 设计并部署 Cilium 版本一致性校验的 ValidatingAdmissionWebhook。
- 编写测试用例，模拟 Agent/Operator/CRD 版本漂移场景。
- 使用
kubectl apply --dry-run=server与curl -k手动触发 Webhook 验证。 - 集成到 CI/CD 流水线，实现自动化回归测试。
| 受众角色 | 前置知识要求 | 课程收益 |
|---|---|---|
| 平台运维工程师 | Kubernetes 基础、Helm 使用经验 | 掌握 Cilium 版本漂移的预防与自动化修复能力 |
| 安全工程师 | Kubernetes RBAC、准入控制概念 | 能够设计安全策略校验 Webhook，满足合规审计 |
| 测试开发工程师 | Go/Python 基础、Kubernetes API 调用 | 构建端到端版本漂移测试框架，提升 CI 质量门禁 |
📌 课程定位：本课程不深入 Cilium eBPF 内核细节，而是聚焦于 Kubernetes 准入控制层与 Cilium 版本管理的交叉领域，提供可直接复用的测试验证方法论与代码模板。