1. 课程导论：安全环境晋级路径概念、Kyverno 在策略即代码中的定位、追踪与抽检的价值

1.1 安全环境晋级路径：从“合规检查”到“策略即代码”

在云原生安全实践中，传统“人工巡检 + 事后审计”的模式已无法应对 Kubernetes 集群的动态性与规模。安全环境晋级路径（Security Maturity Path）描述了一个组织从被动响应向主动防御演进的阶段模型。本课程聚焦于该路径中承上启下的关键环节：策略即代码（Policy as Code, PaC）。

下表对比了安全环境晋级路径中三个典型阶段的特点：

1.2 Kyverno 在策略即代码生态中的定位

Kyverno 是专为 Kubernetes 设计的策略引擎，其核心定位是“Kubernetes 原生的策略即代码”。与通用策略引擎（如 OPA）不同，Kyverno 使用 Kubernetes 资源（ClusterPolicy / Policy）来定义策略，无需学习专用的策略语言（如 Rego）。

Kyverno 在策略即代码生态中的关键角色体现在三个方面：

• 策略定义者： 使用 YAML 声明策略规则，直接匹配 Kubernetes 资源（Pod、Namespace、Ingress 等）。
• 策略执行者： 通过 MutatingWebhook（变更）和 ValidatingWebhook（验证）在资源创建/更新时拦截并处理。
• 策略审计者： 对已有资源进行后台扫描，生成 PolicyReport 和 ClusterPolicyReport，提供持续合规状态。

1.3 追踪与抽检：策略即代码闭环中的“眼睛”

在策略即代码的实践中，仅仅定义和执行策略是不够的。策略的追踪（Tracking）与样本抽检（Sampling Audit）是确保策略持续有效、发现漂移、验证合规的关键手段。

• 追踪（Tracking）： 记录策略的变更历史、生效范围、触发次数、拒绝/允许比例。帮助团队回答“谁在什么时候修改了策略？”、“策略对哪些资源生效？”、“策略的拦截率是多少？”。
• 样本抽检（Sampling Audit）： 对集群中已有资源进行定期或按需的合规检查，生成抽检报告。用于发现“准入控制遗漏的资源”、“策略变更前的历史资源”、“被绕过或误放行的资源”。

下表总结了追踪与抽检在策略即代码闭环中的不同价值：

1.4 本课程的核心目标

本课程将带领学员深入 Kyverno 的策略追踪与样本抽检能力，帮助安全工程师、平台工程师和 SRE 掌握以下关键技能：

1. 理解 Kyverno 策略追踪机制： 包括策略事件、指标暴露、审计日志的配置与解读。
2. 掌握样本抽检方法： 使用 Kyverno 后台扫描、PolicyReport 分析、自定义抽检策略。
3. 构建策略即代码的可观测性： 将追踪与抽检数据集成到监控告警体系。
4. 实战演练： 通过真实场景的追踪与抽检案例，提升安全环境晋级路径中的实操能力。