3. K8s 策略评审流程：策略定义、策略分发、策略执行、策略审计与报告

K8s 策略评审是保障集群安全与合规的核心环节。一个完整的策略评审流程通常包含四个阶段：策略定义、策略分发、策略执行与策略审计与报告。这四个阶段形成闭环，确保策略从制定到落地的可追溯性与一致性。

3.1 策略定义

策略定义是流程的起点，决定了集群的安全基线。策略通常以 OPA/Gatekeeper 的 ConstraintTemplate 与 Constraint、Kyverno 的 ClusterPolicy 或自定义准入 Webhook 的形式存在。

3.2 策略分发

策略分发确保定义好的策略能够一致地部署到目标集群。分发方式包括 GitOps 流水线、Operator 自动同步、以及 Helm Chart 批量部署。

• GitOps 模式：将策略 YAML 存储在 Git 仓库，通过 ArgoCD 或 Flux 自动同步到集群。
• Operator 模式：使用 Gatekeeper Operator 或 Kyverno Operator 管理策略的生命周期。
• 多集群分发：通过 Cluster API 或 Rancher 将策略模板分发到多个集群，确保一致性。

3.3 策略执行

策略执行是策略生效的关键阶段。K8s 提供多种执行点：准入控制（Admission Control）、运行时审计（Audit）与周期性扫描（Reconcilation）。

# 示例：Gatekeeper 准入控制日志
{
  "level": "info",
  "msg": "admission review",
  "resource": "Pod",
  "namespace": "production",
  "constraint": "block-privileged-containers",
  "allowed": false,
  "reason": "Container 'app' has securityContext.privileged=true"
}

执行模式对比：

3.4 策略审计与报告

审计与报告是策略闭环的最后一步，用于验证策略是否被正确执行、是否存在违规资源、以及策略本身是否需要更新。

• 审计数据来源：K8s Audit Logs、Gatekeeper Audit、Kyverno Report、自定义 Webhook 日志。
• 报告内容：违规资源列表、策略命中率、策略覆盖率、合规趋势。
• 工具链：Falco（运行时审计）、kube-bench（CIS 基准）、OPA 审计 API、Prometheus + Grafana（可视化）。

# 查看 Gatekeeper 审计结果
kubectl get constrainttemplates
kubectl get constraints
kubectl get k8srequiredlabels.constraints.gatekeeper.sh -o yaml

3.5 策略评审清单

在实际评审过程中，建议按照以下清单逐项检查：