1. 课程导论：云原生安全挑战、Kyverno项目背景、动态策略配置的价值
1.1 云原生安全面临的核心挑战
随着企业加速向Kubernetes迁移，传统基于边界的安全模型已无法适应动态、弹性的云原生环境。容器化与微服务架构在提升交付效率的同时，也引入了新的攻击面与安全盲区。
| 安全挑战 | 传统环境 | 云原生环境 |
|---|---|---|
| 基础设施变更 | 物理机/VM，变更周期长 | 容器秒级启停，Pod频繁重建 |
| 网络边界 | 固定IP/端口，防火墙规则静态 | 动态IP，服务网格，零信任网络 |
| 镜像与供应链 | OS级漏洞扫描 | 镜像层、依赖链、运行时全链路风险 |
| 权限模型 | 基于角色的静态权限 | ServiceAccount + RBAC + OPA/Kyverno |
| 合规审计 | 定期人工检查 | 持续合规，策略即代码 |
关键洞察： 云原生安全的核心矛盾在于——基础设施的瞬时性与安全策略的静态性之间的鸿沟。传统“先审批后部署”的模式在Kubernetes中往往导致运维瓶颈或安全盲区。
1.2 Kyverno项目背景与定位
Kyverno是由Nirmata开源、后捐献给CNCF的Kubernetes原生策略引擎。它并非通用策略语言（如OPA/Rego），而是专为Kubernetes设计的声明式准入控制器。
- Kubernetes原生：策略使用Kubernetes资源（
ClusterPolicy/Policy）定义，无需学习新语言。 - 准入控制：在资源创建/更新时拦截请求，进行验证、变更或生成操作。
- 无侵入：以Operator模式运行，无需修改Kubernetes核心组件。
- 社区活跃：CNCF毕业项目，已被多家大型企业用于生产环境。
对比速览： Kyverno vs OPA/Gatekeeper —— Kyverno使用YAML定义策略，学习曲线更低；OPA使用Rego语言，灵活性更高但调试复杂。本课程聚焦Kyverno，因其在“策略即代码”的落地效率上更具优势。
1.3 动态策略配置的价值
传统静态策略在云原生环境中存在明显短板：策略变更需要重新部署、无法感知集群状态变化、难以实现细粒度的环境差异化。动态策略配置正是为了解决这些问题而生。
- 运行时自适应：策略可根据集群标签、命名空间注解、资源元数据动态调整行为。
- 减少人工干预：通过
generate规则自动创建关联资源（如NetworkPolicy、LimitRange），消除手动配置遗漏。 - 环境一致性：同一套策略模板，通过参数化配置适配开发/测试/生产环境。
- 安全基线自动化：将CIS Kubernetes Benchmark、NSA/CISA加固指南等标准转化为可执行的动态策略。
常见误区： 动态策略不等于“宽松策略”。动态策略的核心是根据上下文自动选择最严格的适用规则，而非降低安全门槛。例如：生产命名空间自动启用Pod安全标准（PSS）的restricted级别，而开发命名空间使用baseline级别。
1.4 本课程核心内容预览
本课程将围绕Kyverno的生成规则（generate）展开，从基础概念到生产级实战，覆盖以下关键模块：
| 模块 | 核心内容 | 实战产出 |
|---|---|---|
| 基础篇 | Kyverno安装、策略结构、生成规则语法 | 首个自动生成NetworkPolicy的策略 |
| 进阶篇 | 条件生成、数据源绑定、资源同步 | 多环境差异化安全基线 |
| 安全基线篇 | Pod安全标准、镜像签名验证、RBAC最小权限 | 符合CIS标准的自动加固策略集 |
| 运维与排错 | 策略调试、性能调优、审计日志 | 生产级策略运维手册 |
课程目标： 学完本课程后，你将能够独立设计、编写并维护一套生产级Kyverno生成规则，实现云原生安全基线的动态策略配置，让安全策略随Kubernetes集群自动生长、持续合规。