1. 课程导论：什么是回滚护栏、为什么需要自动化回滚护栏、Kyverno 在其中的角色

1.1 什么是回滚护栏

在 Kubernetes 生产环境中，回滚护栏（Rollback Guardrails）是一组预先定义的策略规则，用于在应用回滚操作执行前、执行中和执行后，对回滚的合法性、安全性和合规性进行自动校验。它并非简单的“允许/拒绝”开关，而是一个多层防护体系，确保回滚不会引入比当前故障更严重的问题。

回滚护栏通常覆盖以下校验维度：

1.2 为什么需要自动化回滚护栏

传统手动回滚流程存在三大致命缺陷：速度慢、易出错、不可审计。当线上故障发生时，运维人员往往在高压环境下执行回滚，极易忽略关键校验步骤，导致“二次故障”。

自动化回滚护栏带来的核心价值：

• 消除人为失误：机器执行策略校验，不会遗漏任何规则。
• 毫秒级响应：在 Kubernetes API 层面实时拦截，无需等待人工审批。
• 全量覆盖：一次定义策略，所有 Namespace、所有工作负载自动生效。
• 审计合规：每次回滚操作自动生成审计日志，满足 SOC2、PCI-DSS 等合规要求。
• 渐进式放行：支持“告警模式 → 阻断模式”的灰度切换，降低策略上线风险。

以下对比表清晰展示了有无自动化回滚护栏的差异：

1.3 Kyverno 在其中的角色

Kyverno 是一个为 Kubernetes 设计的策略引擎，它使用 Kubernetes 原生资源（Policy 和 ClusterPolicy）来定义策略，无需编写 Webhook 或 Admission Controller 代码。在回滚护栏场景中，Kyverno 扮演了策略执行者和变更控制器的双重角色。

Kyverno 的核心能力与回滚护栏的对应关系：

Kyverno 在回滚护栏中的典型策略示例（校验回滚后的副本数）：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: rollback-replica-guardrail
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-min-replicas
    match:
      any:
      - resources:
          kinds:
          - Deployment
          operations:
          - UPDATE
    preconditions:
      any:
      - key: "{{ request.operation }}"
        operator: Equals
        value: UPDATE
    validate:
      message: "回滚后的副本数不能小于 2"
      pattern:
        spec:
          replicas: ">=2"

上述策略会在 Deployment 更新（包括回滚）时自动校验 spec.replicas 是否大于等于 2，若不满足则直接阻断操作并返回错误信息。

通过上述架构可以看出，Kyverno 位于 Kubernetes API Server 与 etcd 存储之间，以 MutatingWebhookConfiguration 和 ValidatingWebhookConfiguration 的形式拦截所有资源变更请求。回滚操作本质上也是资源更新（UPDATE）操作，因此天然被 Kyverno 策略覆盖。