VIP20
本课程属于：080-云原生安全基线冷启动削峰 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

Gatekeeper冷启动策略评审与权限变更防护

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
课程导论
Gatekeeper在云原生安全中的… · 为什么需要关注冷启动 · 削峰与权限变更风险
课程导论Gatekeeper
02
Gatekeeper核心架构
OPA引擎 · Admission Webhook · 约束模板（ConstraintTem…
Gatekeeper核心架构
03
安全冷启动概念
集群首次部署时策略未就绪 · Webhook未生效导致的绕过风险
安全冷启动概念集群首次部署时策…
04
冷启动风险场景1
Pod创建在Gatekeeper部署… · 绕过策略检查
冷启动风险场景1Pod
05
冷启动风险场景2
CRD（CustomResource…
冷启动风险场景2CRD
06
冷启动风险场景3
Webhook配置错误（如failu…
冷启动风险场景3Webhook
07
冷启动防护策略
使用Init容器 · 预加载约束模板 · 设置failurePolicy
冷启动防护策略Init
08
冷启动审计与监控
通过Audit检查未应用的约束 · 使用Prometheus指标监控We…
冷启动审计监控
09
削峰概念
大规模集群中Admission请求突…
削峰概念Admission
10
削峰风险场景1
大量并发Pod创建请求压垮Gatek…
削峰风险场景1Pod
11
削峰风险场景2
复杂Rego策略导致单次请求处理时间… · 引发超时
削峰风险场景2Rego
12
削峰风险场景3
Webhook超时后Kube-API… · 策略失效
削峰风险场景3Webhook
13
削峰防护策略1
设置合理的Webhook超时时间（如…
削峰防护策略1Webhook
14
削峰防护策略2
使用HorizontalPodAut…
削峰防护策略2HorizontalPo…
15
削峰防护策略3
优化Rego策略性能（避免循环 · 使用缓存 · 减少外部数据查询）
削峰防护策略3Rego
16
削峰防护策略4
启用Gatekeeper的请求队列与…
削峰防护策略4Gatekeeper
17
权限变更风险概念
RBAC · ServiceAccount · ClusterRole变更导致策略绕…
权限变更风险概念RBAC
18
权限变更风险场景1
用户通过kubectl edit直接… · 绕过Gatekeeper约束
权限变更风险场景…kubectl
19
权限变更风险场景2
ServiceAccount绑定高权… · 导致非授权Pod获得特权
权限变更风险场景…ServiceAccou…
20
权限变更风险场景3
Gatekeeper自身RBAC权限… · 成为攻击目标
权限变更风险场景…Gatekeeper
21
权限变更风险场景4
通过MutatingWebhookC… · 绕过约束
权限变更风险场景…MutatingWebh…
22
权限变更防护策略1
使用Gatekeeper约束禁止修改…
权限变更防护策略…Gatekeeper
23
权限变更防护策略2
对ServiceAccount绑定实…
权限变更防护策略…ServiceAccou…
24
权限变更防护策略3
最小化Gatekeeper自身RBA… · 使用只读模式
权限变更防护策略…Gatekeeper
25
权限变更防护策略4
审计所有RBAC变更事件 · 与Gatekeeper Audit联…
权限变更防护策略…RBAC
26
综合案例1
设计一个同时防护冷启动与削峰的Gat…
综合案例1Gat
27
综合案例2
编写Rego策略禁止非命名空间管理员…
综合案例2Rego
28
综合案例3
使用Gatekeeper Audit…
综合案例3Gatekeeper
29
策略评审最佳实践
定期评审约束模板 · 测试Rego性能 · 模拟冷启动与削峰场景
策略评审最佳实践定期评审约束模板
30
课程总结与展望
Gatekeeper未来演进 · 与OPA Gatekeeper的集成 · 云原生策略即代码趋势
课程总结Gatekeeper