1. 课程导论：多集群架构的演进、为什么需要准入门禁、课程目标与学习路径

1.1 多集群架构的演进：从单体到联邦

Kubernetes 集群管理经历了从“单集群大一统”到“多集群分布式治理”的演进。随着业务规模增长、合规要求细化以及混合云战略普及，单一集群在隔离性、爆炸半径、地域延迟和团队自治方面逐渐暴露瓶颈。

1.2 为什么需要准入门禁

在多集群架构中，每个集群都可能被不同团队、不同 CI/CD 管道甚至外部系统访问。如果没有统一的准入控制，以下风险将急剧放大：

• 配置漂移： 同一应用在不同集群的资源配置不一致，导致行为差异。
• 安全漏洞： 特权容器、hostPath 挂载、不安全镜像被部署到生产集群。
• 资源滥用： 未设置 resource limits 的 Pod 抢占集群资源。
• 合规违规： 敏感数据被部署到非合规区域或未加密存储。
• 审计缺失： 无法追溯谁在何时向哪个集群提交了何种资源。

准入门禁（Admission Gate）作为 Kubernetes API 请求的“守门人”，在资源持久化之前拦截、校验、变异或拒绝请求。多集群场景下，准入门禁需要从单集群的 ValidatingWebhookConfiguration / MutatingWebhookConfiguration 升级为跨集群的策略分发与执行体系。

1.3 多集群准入门禁架构总览

下图展示了多集群准入门禁的核心组件与请求流转路径：

1.4 课程目标

完成本课程后，你将具备以下能力：

• 设计能力： 根据组织规模与合规要求，设计多集群准入门禁的顶层架构。
• 实现能力： 基于 OPA (Rego) 或 Kyverno 编写跨集群策略，并通过 GitOps 管道分发。
• 运维能力： 搭建准入门禁的监控、告警与审计链路，处理策略冲突与集群离线场景。
• 扩展能力： 自定义准入 Webhook，集成第三方安全扫描器与成本控制工具。

1.5 学习路径与章节地图

课程按“基础 → 核心 → 进阶 → 实战”四阶段组织，共 30 章：

1.6 前置要求与工具准备

kind create cluster --name cluster-a
kind create cluster --name cluster-b
kind create cluster --name cluster-c