4. 变更门禁概述：门禁类型与CI/CD流水线位置

变更门禁（Change Gate）是CI/CD流水线中用于自动阻断或放行变更的质量关卡。在跨集群调度与Helm集成的场景下，门禁不仅校验代码语法，还需验证Helm Chart的渲染结果、跨集群资源兼容性以及运行时健康状态。本章从门禁类型和流水线位置两个维度建立统一认知框架。

4.1 门禁的三种核心类型

按触发时机与校验目标，变更门禁分为三类：Pre-commit、Pre-deploy、Post-deploy。下表对比了它们的核心差异：

4.2 门禁在CI/CD流水线中的位置

下图展示了三类门禁在典型CI/CD流水线中的嵌入位置，以及它们与Helm操作、集群调度的关系：

4.3 门禁在流水线中的详细职责

每个门禁类型在流水线中承担不同的质量关卡职责，以下按阶段展开：

4.3.1 Pre-commit 门禁（开发阶段）

• 触发条件：开发者执行 git commit 或 git push 时，通过 Git Hooks 或 CI 触发器调用。
• 校验内容：
  • Helm Chart 语法正确性（helm lint）
  • Kubernetes 资源定义合规性（kubeconform / kubeval）
  • 敏感信息泄露检测（TruffleHog / GitLeaks）
  • 基础镜像漏洞扫描（Trivy）
• 阻断策略：任一校验失败则拒绝提交，开发者需本地修复后重新推送。

4.3.2 Pre-deploy 门禁（发布阶段）

• 触发条件：Helm Chart 构建完成后，执行 helm upgrade --install --dry-run 之前或同时。
• 校验内容：
  • 渲染后的 YAML 与基线差异对比（helm diff）
  • 跨集群资源配额与命名空间冲突检测
  • OPA / Gatekeeper 策略合规性（如：禁止 privileged 容器）
  • 目标集群 API 版本兼容性（kube-no-trouble）
• 阻断策略：差异过大或策略违规则中止发布，通知 SRE 人工审核。

4.3.3 Post-deploy 门禁（运行阶段）

• 触发条件：Helm Release 更新完成后，进入观察窗口（通常 5-15 分钟）。
• 校验内容：
  • Pod 启动状态与 Ready 副本数
  • 应用自定义 SLO（如：P99 延迟 < 200ms）
  • 错误日志比率（4xx/5xx）
  • 集群事件中的异常（CrashLoopBackOff / OOMKill）
• 阻断策略：SLO 违例或关键指标恶化则触发自动回滚至上一版本。

4.4 门禁在跨集群调度中的特殊考量

当 Helm 部署目标涉及多个集群时，门禁需要额外关注以下维度：

4.5 门禁故障排查的通用原则

在后续章节中，我们将深入每个门禁类型的故障案例。在此之前，先建立三条通用排查原则：

1. 从后往前排查：Post-deploy 失败时，先检查 Pre-deploy 的 Dry-run 输出是否与实际集群状态一致。
2. 日志与指标联动：门禁日志（如 OPA 拒绝原因）必须与集群事件、Prometheus 指标关联分析。
3. 版本化门禁策略：将门禁规则（如 OPA 策略、Helm lint 配置）纳入 Git 管理，确保可追溯、可回滚。