3. 策略即代码 (Policy as Code) 概述：为什么需要策略即代码，以及 GitOps 工作流中的策略管理

3.1 从传统策略到策略即代码的演进

在云原生环境中，传统策略管理（如人工审批、静态配置文件、脚本检查）面临三大挑战：变更不可追溯、执行不一致、审计困难。策略即代码（Policy as Code, PaC）将安全、合规、资源治理规则以声明式代码的形式编写、版本化、测试和自动化执行，使策略管理具备与应用程序代码同等的工程化能力。

3.2 为什么需要策略即代码：四大驱动力

1. 可审计性与合规性：所有策略变更都记录在 Git 提交历史中，谁、何时、为什么修改了哪条规则，一目了然。满足 SOC 2、PCI DSS、FedRAMP 等合规要求。
2. 自动化与一致性：策略在集群准入阶段自动执行，消除人工审批的延迟和主观偏差。同一套策略可跨开发、预发、生产环境一致执行。
3. 快速回滚与故障恢复：当策略误报或过于严格导致部署阻塞时，可通过 Git revert 或 Gatekeeper 快照快速回退到上一个已知正确的策略版本。
4. 开发与安全协作：安全团队以 Pull Request 方式提交策略变更，平台团队 Review 后合并，实现 DevSecOps 左移。

3.3 GitOps 工作流中的策略管理

在 GitOps 模式下，策略即代码与应用程序配置遵循相同的声明式管理原则。下图展示了策略从定义到集群执行的完整生命周期：

3.4 策略即代码在 GitOps 中的关键实践

• 策略仓库独立：建议将策略代码存放在独立 Git 仓库（如 infra-policies），与应用程序配置分离，便于权限控制和版本管理。
• 约束模板 (ConstraintTemplate) 与约束 (Constraint) 分离：模板定义逻辑，约束定义参数和适用范围。模板变更需谨慎，约束变更可更频繁。
• 策略测试自动化：使用 conftest 或 opa test 在 CI 中对策略进行单元测试，确保策略逻辑正确。
• 渐进式策略推行：通过 enforcementAction: dryrun 先观察策略影响，确认无误后再改为 deny。

3.5 策略即代码的典型约束结构

以下是一个 Gatekeeper 约束模板与约束的简化示例，展示策略即代码的声明式表达：

# constrainttemplate.yaml
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredlabels
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredLabels
      validation:
        openAPIV3Schema:
          type: object
          properties:
            labels:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8srequiredlabels
        violation[{"msg": msg}] {
          input.review.object.metadata.labels[required_label]
          required_label := input.parameters.labels[_]
          not input.review.object.metadata.labels[required_label]
          msg := sprintf("缺少必要标签: %v", [required_label])
        }
---
# constraint.yaml
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: require-team-label
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Namespace"]
  parameters:
    labels: ["team", "environment"]
  enforcementAction: deny