1. 课程导论：云原生安全面临的挑战、为什么需要自动化基线适配、Kyverno在其中的角色

1.1 云原生安全面临的现实挑战

云原生架构的普及带来了前所未有的安全复杂性。传统基于边界的安全模型在动态、弹性的容器化环境中逐渐失效。企业在拥抱Kubernetes和微服务的同时，面临以下核心安全痛点：

• 攻击面急剧扩大：容器镜像、Pod、Service、Ingress、ConfigMap、Secret等资源数量呈指数级增长，每个资源都可能成为攻击入口。
• 配置漂移常态化：手动配置安全基线难以跟上频繁的版本更新和集群扩缩容，合规状态在数小时内即可从“合规”变为“不合规”。
• 策略执行碎片化：不同团队使用不同的工具（OPA/Gatekeeper、Pod Security Admission、自定义Webhook）管理安全策略，缺乏统一视图和变更追踪。
• 安全响应滞后：从发现基线偏离到人工修复，平均耗时超过48小时，期间集群暴露在风险中。

1.2 为什么需要自动化基线适配

安全基线不是静态文档，而是需要随业务、威胁情报和合规要求动态演变的“活规则”。自动化基线适配解决了三个核心矛盾：

自动化基线适配的核心价值在于：将安全左移到开发阶段，在资源进入集群之前或创建瞬间完成合规校验，避免“先违规、后补救”的被动局面。

1.3 Kyverno在其中的角色

Kyverno是一个为Kubernetes设计的云原生策略引擎，它使用Kubernetes原生资源（Policy、ClusterPolicy）定义安全规则，无需学习新的策略语言（如Rego）。在自动化基线适配体系中，Kyverno扮演以下关键角色：

1. 策略即代码：安全基线以Kubernetes CRD形式管理，可纳入GitOps流程，实现版本控制和变更审批。
2. 实时准入控制：作为动态准入Webhook，在资源创建、更新、删除时自动触发策略校验，支持 enforce（强制阻断）和 audit（审计告警）两种模式。
3. 自动生成与修正：通过 generate 和 mutate 能力，自动为不符合基线的资源添加标签、注解或Sidecar，无需人工介入。
4. 上下文感知：支持查询集群内其他资源状态，实现跨资源的复杂基线规则（如“所有暴露LoadBalancer类型Service的命名空间必须包含网络策略”）。

下图展示了Kyverno在Kubernetes集群中的核心工作流程，以及它如何与API Server、etcd和CI/CD管道交互，实现安全基线的自动化适配：

1.4 课程核心目标

本课程将带领学员从零到一构建一套基于Kyverno的云原生安全基线自动化适配体系。通过30个章节的实战演练，你将掌握：

• 如何将CIS Kubernetes Benchmark、Pod Security Standards等业界标准转化为Kyverno策略。
• 如何利用Kyverno的 generate 和 mutate 能力实现基线偏离的自动修复。
• 如何将策略纳入GitOps工作流，实现安全基线的版本管理和变更审计。
• 如何构建策略的监控、告警和可视化面板，实时掌握集群合规状态。