3. 冷启动问题定义

3.1 什么是冷启动

在 Gatekeeper 的上下文中，冷启动是指准入 Webhook 服务从“零就绪”状态过渡到“稳定服务”状态期间，因缓存缺失、规则尚未加载、资源配额尚未建立而导致的性能退化现象。冷启动的本质是状态预热缺失——当 Webhook Pod 刚启动或刚被调度到新节点时，其内存中没有任何已缓存的 OPA 策略评估结果、约束模板实例或资源使用计数，每一个到达的准入请求都必须从原始数据开始完整计算，造成延迟飙升和吞吐量骤降。

冷启动的持续时间取决于集群规模、约束模板数量、资源对象总数以及 Webhook 副本数。在中等规模集群（500–2000 个资源对象）中，冷启动窗口通常为 30–120 秒；在大规模集群（10000+ 资源对象）中，该窗口可能延长至 5–15 分钟。

3.2 冷启动的典型场景

冷启动并非偶发事件，它在以下三类场景中高频出现，且每次发生都会对集群稳定性产生可量化的冲击。

场景一：集群重启

当整个集群的控制面或 Gatekeeper 命名空间因升级、故障恢复或灾难重建而重启时，所有 Webhook Pod 几乎同时从零开始。此时，所有缓存同时失效，每个 Pod 都需要重新从 API Server 拉取全部约束模板、约束实例、资源对象和命名空间元数据。这种“全量并发冷启动”对集群的 API Server 造成巨大压力，同时所有准入请求的延迟都会急剧上升。

场景二：Webhook 扩缩容

在 HPA 触发扩容、节点故障导致 Pod 重新调度或滚动更新期间，新增的 Webhook Pod 会经历冷启动。虽然此时已有部分 Pod 处于稳定状态，但新 Pod 的加入会导致负载重新分布——部分请求被路由到尚未预热的 Pod，造成延迟抖动。如果扩容速度过快（例如从 2 副本直接扩到 10 副本），冷启动 Pod 的比例过高，整体服务质量会显著下降。

场景三：约束模板变更

当运维人员更新 ConstraintTemplate 或创建新的 Constraint 资源时，Gatekeeper 会触发策略重新加载。虽然这不算严格意义上的“启动”，但其行为与冷启动高度相似：OPA 引擎需要重新编译 Rego 规则，缓存中的评估结果全部失效，所有后续请求都必须重新计算。频繁的策略变更会持续制造“微冷启动”窗口。

3.3 冷启动对集群稳定性的影响

冷启动并非单纯的性能问题，它会从多个维度破坏集群的稳定性，甚至引发级联故障。

3.3.1 准入延迟飙升

冷启动期间，每个准入请求都需要经历完整的策略评估链路：从 API Server 拉取资源对象、加载约束模板、编译 Rego 规则、执行评估。稳定状态下，Gatekeeper 的 P99 延迟通常控制在 50–200ms；冷启动期间，P99 延迟可能飙升至 1–3 秒，甚至超过 Kubernetes API Server 的默认超时时间（30 秒），导致请求失败。

# 稳定状态 vs 冷启动状态延迟对比（单位：ms）
| 分位   | 稳定状态 | 冷启动初期 | 冷启动中期 | 冷启动末期 |
|--------|----------|------------|------------|------------|
| P50    | 15       | 120        | 80         | 30         |
| P99    | 180      | 2800       | 1500       | 400        |
| P999   | 350      | 5000+      | 3000+      | 800        |

3.3.2 资源配额耗尽与 OOM

冷启动期间，Gatekeeper 需要同时处理大量缓存缺失的请求，内存和 CPU 消耗急剧上升。如果未设置合理的资源配额，Pod 可能因 OOM 被杀死，触发重新调度，形成冷启动→OOM→重新调度→再次冷启动的恶性循环。

3.3.3 API Server 压力放大

冷启动期间，每个 Webhook Pod 都会向 API Server 发起大量 List/Watch 请求以重建缓存。如果多个 Pod 同时冷启动（集群重启场景），API Server 可能瞬间承受数倍于正常值的请求量，导致控制面响应变慢，进而影响所有依赖 API Server 的组件（如调度器、控制器管理器）。

3.3.4 级联故障风险

冷启动最危险的后果是级联故障：

1. 冷启动导致准入延迟升高，部分请求超时失败
2. 失败请求触发客户端重试，进一步增加 API Server 和 Webhook 的负载
3. Webhook Pod 因负载过高触发 OOM 或被 Liveness Probe 判定为不健康
4. Pod 被杀死后重新调度，再次进入冷启动状态
5. 如果多个 Pod 同时进入此循环，整个准入控制面可能瘫痪

3.3.5 影响范围总结