1. 课程导论：策略即代码理念、Kyverno简介、回滚防护的重要性、课程目标与前置知识

1.1 策略即代码：从人工审核到自动化治理

在传统运维与安全模型中，策略通常以文档、Wiki 或邮件形式存在，依赖人工在变更流程中逐条核对。这种方式在微服务与 Kubernetes 环境下暴露出明显短板：效率低、易遗漏、无法强制实施。

策略即代码（Policy as Code, PaC） 将安全、合规与运维规则以声明式代码的形式编写、版本化管理，并在 CI/CD 流水线或集群准入阶段自动执行。其核心价值包括：

• 可版本化：策略与代码一同存储在 Git 仓库，支持变更追溯与回滚。
• 可测试：策略可编写单元测试，确保规则逻辑正确。
• 可自动化：策略在资源创建、更新时自动触发，无需人工干预。
• 可审计：每次策略评估结果均可记录，满足合规审计要求。

1.2 Kyverno简介：Kubernetes原生的策略引擎

Kyverno 是一个专为 Kubernetes 设计的策略引擎，由 Nirmata 开源，现为 CNCF 毕业项目。与 OPA/Gatekeeper 不同，Kyverno 使用 Kubernetes 自定义资源（CRD）定义策略，无需学习专用查询语言（如 Rego）。

Kyverno 支持三种核心策略动作：

• Validate：验证资源是否符合规则，拒绝不合规资源。
• Mutate：在资源创建或更新时自动修改其配置。
• Generate：基于规则自动生成新资源（如 Namespace 自动创建 NetworkPolicy）。

1.3 回滚防护的重要性

在云原生环境中，回滚 是应对发布故障的标准操作。然而，无防护的回滚 可能引入更严重的问题：

• 回滚到不安全版本：回滚目标版本可能存在已知漏洞（CVE）。
• 回滚破坏配置一致性：回滚后的资源与当前集群的 NetworkPolicy、RBAC 等配置不兼容。
• 回滚绕过合规检查：回滚操作可能跳过生产环境的准入控制，导致不合规资源上线。
• 回滚引发级联故障：回滚一个服务可能影响依赖该服务的其他组件。

回滚防护 是指在回滚操作执行前，自动验证回滚目标版本的安全性、合规性与兼容性，确保回滚不会引入新的风险。Kyverno 可以在回滚发生时，作为准入控制器拦截并评估回滚请求。

1.4 课程目标与前置知识

本课程旨在帮助学员掌握使用 Kyverno 实现回滚防护与流水线集成的完整技能。完成本课程后，你将能够：

前置知识要求：

• 熟悉 Kubernetes 基本概念（Pod、Deployment、Service、Namespace）。
• 能够使用 kubectl 管理集群资源。
• 了解 CI/CD 流水线基本流程（构建、测试、部署）。
• 具备 YAML 编写基础。

1.5 课程内容概览

本课程共分为 30 章，涵盖从基础到高级的完整知识体系：