1. 课程导论：跨集群调度的背景与挑战、变更门禁的概念、OPA在安全审计中的角色、课程目标与学习路径
1.1 跨集群调度的背景与挑战
随着企业业务规模的增长与多云/混合云战略的普及，单一 Kubernetes 集群已无法满足高可用、地域亲和、资源隔离与成本优化等需求。跨集群调度（Multi-Cluster Scheduling）应运而生，它允许工作负载在多个集群之间动态分布，实现资源利用率最大化与故障域隔离。
然而，跨集群调度在带来灵活性的同时，也引入了新的安全与治理挑战：
| 挑战维度 | 具体描述 | 典型风险 |
|---|---|---|
| 配置一致性 | 不同集群的 RBAC、网络策略、Pod Security Standards 可能不一致 | 配置漂移导致安全盲区 |
| 调度策略合规 | 工作负载可能被调度到未通过合规审计的集群 | 数据驻留违规、敏感工作负载暴露 |
| 变更爆炸半径 | 一次配置变更可能同时影响多个集群 | 大规模故障、回滚困难 |
| 审计追溯 | 跨集群操作日志分散，缺乏统一审计视图 | 安全事件溯源困难 |
关键洞察： 跨集群调度不仅仅是调度策略问题，更是安全治理问题。没有统一的安全门禁，跨集群调度将放大攻击面。
1.2 变更门禁的概念
变更门禁（Change Gate）是指在软件交付或基础设施变更流程中，设置自动化的安全检查点，只有通过所有门禁规则的变更才能继续执行。在 Kubernetes 生态中，变更门禁通常嵌入在 CI/CD 流水线或 Admission Controller 中，对资源变更进行实时校验。
变更门禁的核心要素包括：
- 策略定义：明确允许/禁止的变更规则（如：禁止特权容器、必须设置资源限制）。
- 执行时机：在变更提交、部署审批、资源创建/更新等阶段触发。
- 阻断与告警：违反策略时直接拒绝变更或生成告警并记录审计日志。
- 审计证据：所有门禁决策结果（通过/拒绝/告警）均需持久化，供事后审计。
实践建议： 变更门禁应遵循“最小权限”与“默认拒绝”原则，确保只有经过显式授权的变更才能通过。
1.3 OPA 在安全审计中的角色
Open Policy Agent（OPA）是一个开源的、通用的策略引擎，它将策略从软件中解耦，提供统一的策略定义、执行与审计能力。在 Kubernetes 安全审计中，OPA 通常以 Admission Controller 的形式运行，拦截所有 API Server 请求，并根据预定义的 Rego 策略进行决策。
OPA 在跨集群调度与变更门禁中的核心角色如下：
| 角色 | 说明 | 审计价值 |
|---|---|---|
| 策略执行点 | 在资源创建/更新时实时评估策略，拒绝不合规变更 | 防止违规配置进入集群 |
| 审计日志源 | 记录每次策略评估的输入、决策结果与决策原因 | 提供不可篡改的审计证据链 |
| 跨集群策略统一 | 通过 OPA 的 Bundle API 或配置管理，将同一套策略分发到多个集群 | 消除策略漂移，确保审计一致性 |
| 变更门禁引擎 | 与 CI/CD 流水线集成，在部署前执行策略检查 | 实现“左移”安全，提前发现风险 |
注意： OPA 本身不存储审计日志，需要结合 Audit Logging 组件（如 Falco、Elasticsearch）或自定义 Webhook 实现日志持久化与检索。
1.4 课程目标与学习路径
本课程旨在帮助学员掌握跨集群调度场景下，基于 OPA 构建变更门禁安全审计体系的完整实践方法。课程结束后，学员将能够：
- 理解跨集群调度的安全风险模型，识别关键审计点。
- 编写 Rego 策略，实现跨集群资源合规性检查。
- 部署 OPA 作为 Admission Controller，集成到 Kubernetes 集群中。
- 设计变更门禁流水线，将 OPA 策略嵌入 CI/CD 流程。
- 构建审计日志系统，实现策略决策的可追溯与可视化。
课程学习路径分为五个阶段：
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础篇 | 第 1-5 章 | 掌握跨集群调度基础与 OPA 策略语言 |
| 策略篇 | 第 6-12 章 | 编写面向跨集群场景的 Rego 审计策略 |
| 集成篇 | 第 13-20 章 | 部署 OPA 门禁并集成 CI/CD 流水线 |
| 审计篇 | 第 21-26 章 | 构建审计日志存储、检索与可视化面板 |
| 实战篇 | 第 27-30 章 | 完成端到端跨集群变更门禁安全审计项目 |
学习建议： 建议学员提前准备一个多集群实验环境（至少 2 个集群），并安装 OPA Gatekeeper 或 OPA 作为 Admission Controller，以便同步实践。