2. 环境准备：操作系统要求、硬件资源建议、Kubernetes 集群版本选择
Gatekeeper 作为 Kubernetes 的准入控制器，其冷启动性能高度依赖底层环境的稳定性与资源配比。本章从操作系统、硬件资源、集群版本三个维度给出经过验证的推荐配置，帮助你在测试前搭建一个可复现、无干扰的基准环境。
2.1 操作系统要求
Gatekeeper 以容器方式运行，对宿主操作系统无特殊依赖，但冷启动测试需要排除系统层面的抖动。以下为生产级与测试级推荐配置：
| 项目 | 推荐配置 | 说明 |
|---|---|---|
| Linux 发行版 | Ubuntu 22.04 LTS / Rocky Linux 9 | 内核 ≥ 5.15，cgroup v2 默认启用，兼容 containerd 1.6+ |
| 内核参数 | fs.inotify.max_user_instances=8192 fs.inotify.max_user_watches=524288 |
避免 Gatekeeper 监听大量 ConstraintTemplate 时触发 inotify 上限 |
| 容器运行时 | containerd 1.7.x | Docker 作为运行时已弃用，containerd 镜像拉取延迟更低 |
| 系统预留资源 | --system-reserved=cpu=500m,memory=1Gi | 保证 kubelet 与系统守护进程不抢占 Gatekeeper 资源 |
冷启动测试避坑： 避免在桌面版操作系统（如 Ubuntu Desktop、Fedora Workstation）上执行性能测试。桌面环境的后台服务（snapd、GNOME 定时任务）会引入不可控的 CPU 毛刺，导致冷启动延迟数据失真。
2.2 硬件资源建议
Gatekeeper 冷启动性能瓶颈通常不在 CPU 算力，而在 etcd 写入延迟 和 容器镜像拉取带宽。以下资源建议按测试规模分级：
| 测试规模 | 控制平面节点 | 工作节点 | 磁盘类型 | 网络带宽 |
|---|---|---|---|---|
| 小型（≤ 10 Constraint） | 2 vCPU / 4 GB RAM | 2 vCPU / 4 GB RAM × 2 | SSD (≥ 2000 IOPS) | ≥ 100 Mbps |
| 中型（10–50 Constraint） | 4 vCPU / 8 GB RAM | 4 vCPU / 8 GB RAM × 3 | NVMe (≥ 5000 IOPS) | ≥ 500 Mbps |
| 大型（50–200 Constraint） | 8 vCPU / 16 GB RAM | 8 vCPU / 16 GB RAM × 5 | NVMe RAID1 (≥ 10000 IOPS) | ≥ 1 Gbps |
关键指标： 冷启动阶段 Gatekeeper 需要从 OCI 镜像仓库拉取
gatekeeper-controller-manager 和 gatekeeper-audit 两个镜像（合计约 120 MB）。镜像拉取时间占冷启动总耗时的 40%–60%。建议在测试前将镜像预热到所有工作节点，或使用本地 Harbor 仓库消除公网延迟。
2.3 Kubernetes 集群版本选择
Gatekeeper 的 API 兼容性严格绑定 Kubernetes 版本。选择错误的集群版本会导致 CRD 注册失败或 Webhook 配置不生效。以下为 Gatekeeper v3.16+ 的版本矩阵：
| Gatekeeper 版本 | Kubernetes 最低版本 | Kubernetes 推荐版本 | 备注 |
|---|---|---|---|
| v3.16.x | v1.24 | v1.27 – v1.29 | 支持 v1 准入 API，弃用 v1beta1 |
| v3.17.x | v1.25 | v1.28 – v1.30 | 引入 Mutation 性能优化，推荐用于冷启动测试 |
| v3.18.x (最新) | v1.26 | v1.29 – v1.31 | 默认启用 v1alpha3 资源配额，冷启动延迟降低约 15% |
版本陷阱： 不要使用 Kubernetes v1.23 及以下版本。这些版本缺少
ValidatingAdmissionPolicy 的 CRD 存储版本转换支持，Gatekeeper 在冷启动时可能因 CRD 存储版本不匹配而陷入 CrashLoopBackOff。
2.4 环境拓扑与组件关系
下图展示了冷启动测试环境的完整拓扑，包含控制平面、工作节点、镜像仓库与 Gatekeeper 组件的交互路径：
2.5 环境验证清单
在开始冷启动测试前，逐项确认以下条件：
- 内核版本：
uname -r≥ 5.15，确认 cgroup v2 已挂载（mount | grep cgroup2非空）。 - 容器运行时：
crictl version显示 containerd ≥ 1.7.0。 - 集群版本：
kubectl version --short中 Server Version 在 v1.27–v1.31 范围内。 - 镜像预热： 在所有工作节点执行
crictl pull docker.io/openpolicyagent/gatekeeper:v3.18.0确认镜像已缓存。 - etcd 性能：
etcdctl check perf延迟 ≤ 10ms，避免 etcd 成为冷启动瓶颈。
快速验证命令：
# 检查内核与 cgroup
uname -r && mount | grep cgroup2
# 检查 containerd 版本
crictl version
# 检查集群版本
kubectl version --short
# 预热 Gatekeeper 镜像
for node in $(kubectl get nodes -o name); do
kubectl debug node/$node --image=alpine -- crictl pull docker.io/openpolicyagent/gatekeeper:v3.18.0
done