1. 课程导论：运行时流水线故障事件与 Sandbox 准入核验
1.1 为什么需要关注运行时流水线故障？
在云原生生产环境中，应用从构建到运行需要经过多条流水线：CI 流水线、CD 流水线、以及运行时流水线。运行时流水线负责处理容器启动、网络策略注入、存储挂载、Sidecar 注入等关键操作。一旦该流水线发生故障，可能导致服务中断、数据泄露或安全策略绕过。
关键事实： 根据 2024 年 CNCF 安全审计报告，超过 60% 的容器逃逸事件发生在运行时流水线的准入阶段，而非运行中阶段。
运行时流水线故障事件通常表现为：
- 准入控制器超时或崩溃：导致 Pod 创建被阻塞或跳过安全检查。
- Sandbox 创建失败：容器运行时无法初始化隔离环境。
- 策略误判：合法工作负载被错误拒绝，或恶意负载被错误放行。
- 资源竞争：多个准入 Webhook 同时调用导致流水线死锁。
1.2 Sandbox 准入核验的核心地位
Sandbox（沙箱）是容器运行时的最小隔离单元。在 Kubernetes 中，每个 Pod 对应一个 Sandbox。Sandbox 准入核验发生在 Pod 创建流程的准入阶段，是安全策略的最后一道防线。
| 阶段 | 操作 | 安全风险 | Sandbox 核验作用 |
|---|---|---|---|
| 镜像拉取 | 从 Registry 下载镜像 | 镜像篡改、恶意镜像 | 验证镜像签名与摘要 |
| Sandbox 创建 | 调用 runc/gVisor 创建隔离环境 | 逃逸漏洞、配置逃逸 | 校验 seccomp/AppArmor 配置 |
| 网络注入 | CNI 插件配置网络命名空间 | 网络策略绕过 | 验证网络策略绑定 |
| 存储挂载 | CSI 驱动挂载卷 | 宿主机文件系统暴露 | 校验挂载路径白名单 |
实践建议： Sandbox 准入核验应作为运行时流水线的“熔断器”——一旦核验失败，立即终止流水线并回滚，避免故障扩散。
1.3 运行时流水线故障事件与 Sandbox 准入核验的关系
两者并非独立存在。运行时流水线故障事件直接导致 Sandbox 准入核验失效或跳过。例如：
- 当准入 Webhook 超时（故障事件），Kubelet 可能跳过核验直接创建 Sandbox。
- 当 Sandbox 创建失败（故障事件），流水线可能重试导致资源耗尽。
- 当核验策略配置错误（人为故障），恶意 Pod 可能绕过所有检查。
1.4 课程目标
完成本课程后，学员将能够：
- 识别运行时流水线中的 5 类典型故障事件及其根因。
- 设计 Sandbox 准入核验的完整流程，包括策略引擎、Webhook 链和熔断机制。
- 实现基于 OPA/Gatekeeper 的准入策略，覆盖镜像、网络、存储、安全上下文。
- 验证通过故障注入测试核验链的健壮性，并生成可审计的日志。
- 优化核验性能，避免成为流水线瓶颈（目标：P99 延迟 < 50ms）。
1.5 学习路径与章节地图
课程分为 6 个模块，共 30 章。建议按顺序学习，但可根据基础跳过部分章节：
| 模块 | 章节范围 | 核心内容 | 前置知识 |
|---|---|---|---|
| 基础篇 | 第 1-5 章 | 运行时流水线架构、Sandbox 原理、Kubernetes 准入机制 | K8s 基础、容器运行时 |
| 故障事件篇 | 第 6-12 章 | 故障分类、根因分析、故障注入工具、监控告警 | 基础篇 |
| 核验设计篇 | 第 13-19 章 | 策略引擎选型、Webhook 链设计、熔断与降级 | 故障事件篇 |
| 实现篇 | 第 20-25 章 | OPA/Gatekeeper 实现、自定义准入控制器、eBPF 增强 | 核验设计篇 |
| 验证篇 | 第 26-28 章 | 故障注入测试、性能基准、审计日志分析 | 实现篇 |
| 实战篇 | 第 29-30 章 | 生产级部署、混沌工程演练、案例复盘 | 全部 |
1.6 课程实验环境与工具链
本课程所有实验均可在以下环境中复现：
- Kubernetes 集群：v1.28+，建议使用 Kind 或 Minikube 本地部署。
- 容器运行时：containerd v1.7+，启用 gVisor 作为 Sandbox 运行时。
- 准入控制器：OPA/Gatekeeper v3.16+，配合 ValidatingAdmissionPolicy。
- 故障注入工具：Chaos Mesh v2.7+，用于模拟 Webhook 超时、Sandbox 创建失败。
- 监控与审计：Prometheus + Grafana + Falco，用于核验延迟和逃逸事件监控。
重要提示： 实验环境请勿直接用于生产。Sandbox 准入核验的配置错误可能导致整个集群不可用。建议在隔离的测试集群中完成所有实验。
1.7 本章小结
本章建立了课程的全局视角：
- 运行时流水线故障事件是 Sandbox 准入核验失效的直接诱因。
- Sandbox 准入核验是云原生安全的最后一道防线，必须在设计阶段就考虑故障场景。
- 课程从故障识别 → 核验设计 → 实现 → 验证 → 实战，形成完整闭环。
- 实验环境与工具链已明确，后续章节将逐步深入每个技术细节。