3. Helm 基础回顾：Chart 结构、模板引擎、Values 文件、Release 管理

在集成 OPA 策略引擎之前，必须牢固掌握 Helm 的核心概念。Helm 是 Kubernetes 的包管理器，它将应用及其依赖打包为 Chart，通过 模板引擎 动态生成 Kubernetes 资源清单，利用 Values 文件 实现配置分离，并通过 Release 管理部署的生命周期。本节将逐一拆解这些基础组件，为后续的合规治理奠定技术基础。

3.1 Chart 目录结构

一个标准的 Helm Chart 是一个遵循特定布局的目录集合。理解其结构是创建和修改 Chart 的前提。

my-app/
├── Chart.yaml          # Chart 元数据（名称、版本、描述等）
├── values.yaml         # 默认配置值
├── values.schema.json  # （可选）Values 的 JSON Schema 校验文件
├── charts/             # 子 Chart 依赖（手动或通过 helm dependency 管理）
├── templates/          # Go 模板文件，生成 Kubernetes 资源清单
│   ├── deployment.yaml
│   ├── service.yaml
│   ├── _helpers.tpl    # 可复用的模板片段（命名模板）
│   └── tests/          # 测试连接的文件
│       └── test-connection.yaml
├── templates/NOTES.txt # 安装后显示的提示信息
├── README.md           # Chart 使用说明
└── .helmignore         # 打包时忽略的文件模式

3.2 模板引擎与模板函数

Helm 使用 Go 的 text/template 引擎，并扩展了 60+ 个模板函数（来自 Sprig 库和内置函数）。模板引擎将 templates/ 目录下的文件与 values.yaml 及命令行传入的值结合，渲染出最终的 Kubernetes YAML。

3.2.1 核心模板语法

3.2.2 管道与函数链

Helm 模板支持 Unix 风格的管道操作，将前一个函数的输出作为后一个函数的输入，实现数据转换。

# 将 Values 中的字符串转为大写并添加引号
{{ .Values.environment | upper | quote }}

# 默认值处理：如果 .Values.replicas 未定义，则使用 3
replicas: {{ .Values.replicas | default 3 }}

# 缩进控制：将多行字符串缩进 4 个空格
{{ .Values.annotations | toYaml | nindent 4 }}

3.3 Values 文件与配置分层

Values 文件是 Helm 实现配置与模板分离的关键机制。Helm 支持多级 Values 合并，优先级从低到高为：Chart 内置的 values.yaml → 父 Chart 的 Values → helm install -f 指定的文件 → --set 命令行参数。

# values.yaml（Chart 默认值）
replicaCount: 1
image:
  repository: nginx
  tag: latest
  pullPolicy: IfNotPresent
service:
  type: ClusterIP
  port: 80

# production-values.yaml（生产环境覆盖）
replicaCount: 3
image:
  tag: 1.25.0
service:
  type: LoadBalancer

# 部署命令：helm install my-release ./my-app -f production-values.yaml --set image.tag=1.25.1

最终渲染时，image.tag 的值为 1.25.1（--set 优先级最高），replicaCount 为 3，service.type 为 LoadBalancer。

3.4 Release 管理

Release 是 Helm 中一个 Chart 实例的部署运行态。每次 helm install 都会创建一个新的 Release，每次 helm upgrade 都会生成一个新的 Revision（修订版本）。

3.5 内置对象与作用域

Helm 模板中预置了多个内置对象，用于访问 Chart 元数据、Release 信息、Values 和文件内容。理解这些对象的作用域是编写复杂模板的基础。

{{- range .Values.containers }}
- name: {{ .name }}  # 这里的 . 是容器对象
  image: {{ $.Values.global.registry }}/{{ .image }}  # $.Values 访问根 Values
{{- end }}

3.6 依赖管理与子 Chart

大型应用通常拆分为多个子 Chart。Helm 通过 charts/ 目录或 Chart.yaml 中的 dependencies 字段管理依赖。

# Chart.yaml 中的依赖声明
dependencies:
  - name: postgresql
    version: "12.1.0"
    repository: "https://charts.bitnami.com/bitnami"
    condition: postgresql.enabled  # 条件控制是否安装
    tags:
      - database

子 Chart 的 Values 可以通过全局值（global 字段）共享配置，也可以被父 Chart 的 Values 覆盖。OPA 策略需要递归检查所有子 Chart 的合规性，因为子 Chart 中的不安全配置同样会引入风险。