1. 课程导论：为什么需要准入控制与安全扩容？课程目标与受众
1.1 集群扩容的“安全悖论”
在 Kubernetes 生产环境中，节点扩容是最频繁的运维操作之一。无论是应对突发流量、执行滚动更新，还是通过 Cluster Autoscaler 自动增加计算资源，扩容动作本身都伴随着显著的安全风险。一个常见的误区是：“扩容只是增加节点，不会影响现有工作负载的安全性”。然而，实际攻击面往往在扩容瞬间被打开。
⚠️ 真实案例警示： 某金融科技公司因未配置准入控制，攻击者利用未授权的 Deployment 创建特权容器，在扩容节点上直接挂载宿主机 /var/lib/kubelet 目录，窃取集群证书，最终导致整个生产集群被横向移动攻陷。事后复盘发现，如果启用了 Pod 安全准入（PSA）和资源配额验证，该攻击在 Admission 阶段就会被拦截。
节点扩容的安全悖论在于：扩容引入的新节点，其初始状态是“空白的信任边界”。如果缺乏准入控制机制，任何具有 kubectl 或 API 访问权限的实体，都可以在扩容后的节点上调度恶意工作负载，绕过原有的网络策略和运行时安全监控。
1.2 核心问题：扩容流程中的三大安全缺口
| 安全缺口 | 风险描述 | 典型攻击场景 |
|---|---|---|
| 配置漂移 | 新节点加入集群时，kubelet 配置、节点标签、污点（Taints）可能与基线不一致 | 攻击者利用未打污点的节点调度敏感工作负载，绕过节点隔离策略 |
| 特权容器逃逸 | Deployment 未设置 securityContext，容器以 root 权限运行且具备特权模式 | 在扩容节点上创建 privileged: true 的 Pod，直接访问宿主机命名空间 |
| 资源耗尽攻击 | 未对 Deployment 设置资源请求/限制（requests/limits），导致新节点资源被恶意 Pod 耗尽 | 通过大量创建无资源限制的 Pod，引发节点 OOM 或磁盘满，造成 DoS |
1.3 准入控制：扩容安全的“守门员”
Kubernetes 准入控制（Admission Control）是 API Server 在处理请求时的一组可插拔插件或 Webhook，它在请求被持久化到 etcd 之前执行验证和变更操作。对于节点扩容场景，准入控制的核心价值体现在三个层面：
- 验证（Validating）： 拒绝不符合安全策略的 Deployment 创建请求，例如禁止特权容器、强制只读根文件系统。
- 变更（Mutating）： 自动注入 Sidecar 代理、添加节点亲和性规则、设置默认的安全上下文。
- 审计（Auditing）： 记录所有扩容相关的 API 请求，为事后溯源提供完整证据链。
1.4 课程目标与受众
本课程旨在帮助学员建立从“扩容操作”到“安全准入”的完整知识闭环，掌握在生产环境中通过准入控制机制保障节点扩容安全的核心技能。
🎯 课程三大目标：
- 理解原理： 掌握 Kubernetes 准入控制的工作机制，包括 ValidatingAdmissionWebhook、MutatingAdmissionWebhook、Pod Security Admission 和 OPA/Gatekeeper 的架构差异。
- 实战配置： 能够独立编写 Deployment 安全基线策略，配置节点扩容时的自动注入规则（如 Sidecar、节点亲和性），并验证策略生效。
- 故障排查： 学会分析准入控制日志、调试 Webhook 超时问题、处理扩容节点上的策略冲突。
| 目标受众 | 前置知识要求 | 预期收益 |
|---|---|---|
| Kubernetes 运维工程师 | 熟悉 kubectl 常用命令、了解 Pod 和 Deployment 基本概念 | 掌握生产级扩容安全策略配置，减少安全事件响应时间 |
| 安全工程师 / 合规审计 | 了解容器安全基础、熟悉 CIS Benchmark 基本要求 | 能够制定集群准入控制基线，通过自动化策略满足合规要求 |
| DevOps / 平台工程师 | 有 Helm、Kustomize 或 CI/CD 集成经验 | 将准入控制集成到 GitOps 流水线，实现“安全左移” |
1.5 课程内容全景图
本课程共 30 章，按“基础 → 实战 → 进阶 → 排错”四阶段递进。以下为整体知识结构：
1.6 为什么现在必须重视？
根据 CNCF 2024 年度安全调查报告，62% 的受访组织在生产环境中经历过至少一次与容器编排相关的安全事件，其中节点配置错误和准入控制缺失是排名前三的根因。随着 Kubernetes 集群规模的增长，手动审核每个 Deployment 的配置变得不可行。准入控制策略的自动化、版本化和可审计性，已经成为现代云原生安全的“必选项”而非“可选项”。
💡 核心观点： 准入控制不是“锦上添花”的安全功能，而是节点扩容流程中防止配置漂移和权限滥用的“最后一道防线”。本课程将帮助你把这道理防线从“理论”落地为“可执行的策略代码”。