1. 课程导论：Kubecost 准入策略与服务目录水位高风险变更的背景与价值
在云原生成本治理领域，Kubernetes 集群的资源浪费与成本失控长期困扰着平台工程与 FinOps 团队。传统成本优化手段多为事后分析——等账单出来才发现某个命名空间已经超支，或某个工作负载长期空转。本课程将介绍一种前置拦截的成本治理模式：通过 Kubecost 准入策略，在变更进入集群之前，自动识别并阻断那些可能导致服务目录水位超标的“高风险变更”。
1.1 为什么需要准入策略？
Kubernetes 原生提供了 ValidatingAdmissionWebhook 与 MutatingAdmissionWebhook 机制，允许在资源创建或更新时执行自定义校验。Kubecost 在此基础上构建了成本感知的准入控制器，将成本策略从“人工审核”升级为“自动门禁”。
核心痛点： 服务目录（Service Catalog）中的每个服务都有预设的水位上限（CPU、内存、GPU、存储）。开发人员提交 Deployment 或 StatefulSet 时，如果请求的资源量超过水位阈值，传统流程只能依赖事后告警或人工 Code Review，效率低且容易遗漏。
1.2 服务目录水位高风险变更的定义
“高风险变更”并非指变更本身有 Bug，而是指该变更会导致服务目录中某个服务的资源水位超过预设的安全线。下表列出了典型的高风险变更场景：
| 变更类型 | 示例 | 风险等级 |
|---|---|---|
| 资源请求/限制大幅提升 | CPU request 从 500m 提升至 4 Core | 高 |
| 副本数非预期扩增 | replicas 从 3 调整为 50 | 高 |
| 新增 GPU 或专用硬件 | Deployment 新增 nvidia.com/gpu: 2 | 中 |
| 存储卷大小超限 | PVC 从 10Gi 改为 500Gi | 中 |
| 节点选择器导致资源池偏移 | 强制调度到大规格实例池 | 低 |
1.3 Kubecost 准入策略的价值闭环
将 Kubecost 准入策略与服务目录水位模型结合，可以形成以下治理闭环：
- 定义水位基线： 在 Kubecost 中为每个服务设置 CPU、内存、GPU 的月度成本上限或资源量上限。
- 实时拦截： 当变更请求到达 API Server 时，准入 Webhook 调用 Kubecost 的成本模型，计算变更后的预估水位。
- 策略判定： 若预估水位超过阈值，则拒绝变更并返回详细原因；若未超限，则放行并记录审计日志。
- 持续优化： 通过 Kubecost 的仪表盘查看被拦截的变更趋势，动态调整水位阈值与策略规则。
关键收益： 从“事后算账”转变为“事前拦截”，将成本治理左移到 CI/CD 管道的最前端。据 Kubecost 官方案例，实施准入策略后，集群资源浪费平均降低 30%~50%。
1.4 整体架构概览
下图展示了 Kubecost 准入策略在 Kubernetes 集群中的部署位置与数据流：
1.5 课程核心内容预览
本课程共 30 章，覆盖从理论到实战的完整路径。以下是前 5 章的知识结构：
| 章节 | 核心内容 | 实践产出 |
|---|---|---|
| 第 1 章（本章） | 背景、价值与架构概览 | 理解准入策略的必要性 |
| 第 2 章 | Kubecost 安装与成本模型配置 | 部署 Kubecost 并验证数据采集 |
| 第 3 章 | 服务目录水位模型设计 | 定义水位阈值与标签体系 |
| 第 4 章 | 准入 Webhook 部署与证书管理 | 部署 ValidatingWebhookConfiguration |
| 第 5 章 | 策略规则编写与测试 | 编写第一条成本准入策略 |
前置要求： 学习本课程前，建议具备 Kubernetes 基础操作能力（kubectl、YAML 编写）、了解 Helm 部署方式，并对 FinOps 成本治理有基本认知。如果尚未接触过 Kubecost，第 2 章会从零开始引导安装。
1.6 本章小结
通过本章导论，我们明确了以下关键认知：
- Kubecost 准入策略是一种前置成本治理手段，在资源变更进入集群前进行拦截。
- 服务目录水位高风险变更是指那些会导致资源成本或用量超过预设阈值的变更操作。
- 整体架构由用户/CI、API Server、Kubecost 准入 Webhook、成本模型、水位基线和策略引擎组成闭环。
- 本课程将逐步带您从部署到实战，掌握完整的准入策略治理体系。