📚 课程目录第1章课程导论

1. 课程导论：服务目录平台概述、Cilium在云原生网络中的角色、流水线集成的价值与目标

服务目录平台是现代云原生架构中的核心治理组件，它充当了“服务注册中心 + 元数据仓库 + 策略引擎”三位一体的角色。在微服务数量超过数百个、网络拓扑频繁变动的环境下，服务目录平台为运维和开发团队提供了统一的视图，用于管理服务的发布、发现、依赖关系以及安全策略。

核心能力矩阵：

能力维度	说明	典型实现
服务注册与发现	服务实例上线时自动注册，下线时自动摘除，支持健康检查	Kubernetes Service / CoreDNS / Consul
元数据管理	存储服务的版本、标签、负责人、SLA、依赖关系等结构化信息	Backstage / ServiceNow CMDB
策略绑定	将网络策略、安全策略、流量治理规则与目录中的服务条目关联	CiliumNetworkPolicy / Istio AuthorizationPolicy
变更审计	记录每一次服务定义、策略绑定的变更历史，支持回滚	GitOps + OPA Gatekeeper

在本课程中，服务目录平台将作为“策略的源头”，通过流水线将目录中的服务定义自动转化为 Cilium 网络策略，并经过准入控制与测试验证后，安全地部署到生产集群。

Cilium 是基于 eBPF 技术的云原生网络、安全与可观测性解决方案。它在 Kubernetes 环境中扮演着关键角色，其核心优势在于能够以极高的性能实现细粒度的网络策略控制，而无需修改应用代码或依赖传统的 iptables 规则。

为什么选择 Cilium？ 传统网络策略（如 Kubernetes NetworkPolicy）仅支持 L3/L4 层控制，且在大规模集群中性能衰减明显。Cilium 通过 eBPF 在内核层面执行策略，支持 L3/L4/L7 全栈控制，延迟降低 60% 以上，规则更新无需重建连接。

Cilium 在服务目录平台流水线中的核心角色体现在以下三个层面：

将服务目录平台与 Cilium 策略管理集成到 CI/CD 流水线中，旨在解决传统策略管理中的三大痛点：手动配置易出错、策略变更不可追溯、缺乏自动化验证。通过流水线集成，我们实现了策略即代码（Policy as Code）的完整闭环。

常见误区： 不要将流水线集成简单理解为“自动生成 YAML 文件并 apply”。真正的集成需要包含策略的语义校验、冲突检测、灰度发布、回滚机制以及持续验证。缺少这些环节的流水线，反而可能成为生产故障的加速器。

价值维度	具体收益	关键指标
自动化	服务目录变更自动触发策略生成与部署，消除人工操作	策略部署时间从小时级降至分钟级
一致性	所有环境（开发/测试/预发/生产）使用相同的策略生成逻辑	环境间策略差异率降至 0%
可审计	每一次策略变更都关联到具体的服务目录变更和审批记录	变更追溯成功率 100%
安全性	准入控制拦截非法策略，测试验证确保策略生效且不破坏现有业务	生产策略违规事件减少 90%
可观测性	流水线输出策略生效报告，Hubble 数据辅助验证	策略覆盖率可视化，未覆盖服务自动告警

通过本课程的学习，你将能够构建一条完整的流水线，实现以下目标：

策略自动生成： 从服务目录平台读取服务定义和依赖关系，自动生成 CiliumNetworkPolicy 和 CiliumClusterwideNetworkPolicy 资源。
准入控制集成： 在 Kubernetes 集群中部署 Cilium 准入控制器（或结合 OPA/Gatekeeper），在策略资源 apply 之前进行语义校验和冲突检测。
测试验证闭环： 在流水线中集成自动化测试，包括连通性测试、安全策略验证、性能基准测试，确保策略变更安全可控。
持续反馈： 将 Hubble 的流量数据和策略命中统计反馈至流水线，形成策略效果的持续评估机制。

  课程产出预览： 完成本课程后，你将拥有一个可运行的 GitOps 流水线，当开发者在服务目录平台中注册一个新服务或修改依赖关系时，流水线会自动生成对应的 Cilium 策略，经过准入控制校验和测试验证后，安全地部署到目标集群，整个过程无需人工介入。