1. 课程导论：CSI 驱动变更门禁的背景、课程目标与整体架构概览

1.1 为什么需要 CSI 驱动变更门禁？

在云原生环境中，容器镜像的更新频率已经从“周级”演进到“日级”甚至“小时级”。然而，传统 CI/CD 流水线在镜像构建完成后，往往直接推送到镜像仓库并触发 Kubernetes 滚动更新，缺乏对镜像内容、安全合规、配置漂移的自动化校验环节。这种“构建即部署”的模式在以下场景中暴露出严重风险：

• 安全漏洞后门：基础镜像或依赖库中引入高危 CVE，未经扫描直接上线。
• 配置漂移：镜像内的配置文件与集群期望状态不一致，导致服务行为异常。
• 合规违规：镜像包含未授权的第三方组件或敏感信息（如硬编码密钥）。
• 回滚困难：缺乏变更前的基线快照，无法快速对比镜像版本差异。

为了解决上述问题，业界提出了“变更门禁”（Change Gate）的概念——在镜像从构建完成到实际部署之间，插入一道自动化的、可编程的校验屏障。本课程聚焦于如何利用 CSI（Container Storage Interface）驱动 的扩展机制，将变更门禁与 Kubernetes 原生资源模型深度集成，实现镜像更新策略的精细化管控。

1.2 课程目标

完成本课程后，学员将具备以下能力：

1.3 整体架构概览

下图展示了 CSI 驱动变更门禁在 Kubernetes 集群与 CI/CD 流水线中的核心位置与交互关系。整个架构分为三个平面：控制平面、数据平面和策略平面。

1.4 核心组件与职责

下表详细列出了架构中每个组件的职责及其在门禁流程中的角色：

1.5 门禁流程的典型时序

为了更直观地理解门禁如何工作，下面展示一个典型的镜像更新门禁时序：

1. 镜像构建与推送：CI 流水线完成镜像构建，并推送至镜像仓库（如 Harbor、Docker Hub）。
2. 创建门禁 PVC：流水线通过 Kubernetes API 创建一个 PVC，其 StorageClass 指向 CSI 门禁驱动。
3. CSI 驱动挂载：External Provisioner 动态创建 PV，CSI Node Driver 在目标节点上挂载卷，卷内容为镜像的元数据（层信息、CVE 摘要、配置差异）。
4. 启动门禁 Pod：流水线启动一个临时 Pod，挂载上述 CSI 卷，并在 Pod 内运行策略评估工具（如 OPA 或自定义脚本）。
5. 读取门禁结果：Pod 从 CSI 卷中读取门禁决策文件（例如 /gate/result.json），内容包含 allowed: true/false 及原因。
6. 决策执行：流水线根据门禁结果执行后续动作——通过则触发 Deployment 更新，拒绝则阻断并发送告警。

{
  "image": "registry.example.com/app:v2.1.0",
  "digest": "sha256:abc123...",
  "allowed": false,
  "reason": "CVE-2024-1234 (CRITICAL) 未修复",
  "checked_at": "2025-03-15T10:30:00Z",
  "policy_version": "1.4.2"
}

1.6 课程章节地图

本课程共 30 章，分为五个模块。下图展示了模块之间的依赖关系与学习路径：

1.7 学习前提与环境准备

为了获得最佳学习体验，建议学员具备以下基础：

• 熟悉 Kubernetes 基本概念（Pod、Deployment、PVC、StorageClass）
• 了解容器镜像结构（层、摘要、清单）
• 具备基本的 Go 语言编程能力（用于 CSI 驱动开发章节）
• 拥有一个可运行的 Kubernetes 集群（推荐使用 kind 或 minikube 本地搭建）