1. 课程导论：策略即代码（Policy as Code）的定义、核心价值、与传统策略管理的对比、课程目标与学习路径

1.1 什么是策略即代码（Policy as Code）

策略即代码（Policy as Code, PaC）是一种将组织中的安全、合规、运维与治理规则以机器可读的代码形式进行声明、版本化、测试、自动化执行与审计的工程实践。在云原生与 Kubernetes 生态中，PaC 将传统依赖人工审核的“策略文档”转化为可被集群准入控制器（Admission Controller）实时拦截与评估的规则引擎。

核心公式：

策略即代码 = 声明式规则 + 版本控制 + 自动化评估 + 可审计日志

在 Kubernetes 中，典型的 PaC 实现包括：

• OPA/Gatekeeper：基于 Rego 语言的通用策略引擎
• Kyverno：专为 Kubernetes 设计的策略引擎，使用 YAML 定义策略
• Validating/Mutating Admission Webhook：自定义准入控制扩展点

1.2 核心价值

策略即代码为云原生平台带来四个维度的核心价值：

1.3 与传统策略管理的对比

传统策略管理通常以 Word 文档、PDF 或 Wiki 页面形式存在，由安全团队编写，运维团队手动执行。这种模式在云原生动态环境中暴露出严重缺陷：

• 静态 vs 动态：传统策略是静态文档，无法适应 Kubernetes 集群中 Pod 的频繁创建、更新与销毁
• 人工 vs 自动：传统策略依赖人工阅读与判断，PaC 在 API 请求到达 etcd 之前即完成评估
• 事后 vs 事前：传统策略往往是事后审计发现违规，PaC 在资源创建/更新时即拒绝违规请求
• 分散 vs 集中：传统策略散落在不同团队的文档中，PaC 集中存储在 Git 仓库，统一管理

1.4 策略即代码在 Kubernetes 中的位置

下图展示了 PaC 在 Kubernetes API 请求生命周期中的核心位置：

1.5 课程目标

完成本课程后，你将能够：

1. 理解 PaC 核心原理：掌握策略即代码的定义、架构模式与在 Kubernetes 中的实现机制
2. 编写与部署策略：使用 OPA/Gatekeeper 和 Kyverno 编写生产级策略，覆盖安全、合规、资源管理场景
3. 构建自动化回滚机制：设计基于策略评估结果的自动化回滚管道，实现“违规即回滚”的闭环
4. 实施 DevSecOps 集成：将策略检查嵌入 CI/CD 管道，实现“左移”安全
5. 生产级运维：掌握策略的版本管理、灰度发布、性能调优与审计日志

1.6 学习路径

本课程分为五个模块，建议按顺序学习：

1.7 策略即代码的自动化回滚闭环

本课程的核心亮点——自动化回滚机制——建立在 PaC 基础之上。下图展示了从策略评估到自动化回滚的完整闭环：

1.7 预备知识

为获得最佳学习体验，建议具备以下基础：

• Kubernetes 基础：了解 Pod、Deployment、Service、Namespace 等核心资源
• YAML 编写能力：能够阅读和编写 Kubernetes 资源清单
• 基本 Linux 操作：命令行、kubectl 常用命令
• Git 基础：clone、commit、push、pull 等基本操作