1. 课程导论：安全权限工程背景、Kyverno与IDP拓扑集成概述、课程目标与学习路径
1.1 安全权限工程背景：为什么传统权限模型在云原生中失效？
在传统单体架构中，权限管理通常围绕“用户-角色-资源”的静态三元组展开。然而，当应用迁移到 Kubernetes 并以微服务形态运行后，权限主体从“人”急剧扩展为“Pod、ServiceAccount、外部系统”，资源边界也从固定服务器变为动态调度的容器网络。这种变化带来了三个核心挑战：
- 权限爆炸：每个微服务都需要独立的 RBAC 规则，集群中 Role/ClusterRole 数量呈线性甚至指数增长。
- 动态身份：Pod 的 ServiceAccount 在创建时才能确定，无法预先生成完整的权限绑定。
- 合规断层：开发人员通过 CI/CD 直接部署资源，安全团队无法在部署前对权限进行策略校验。
关键洞察： 云原生安全权限工程的核心矛盾，在于“开发速度”与“安全管控”之间的动态平衡。传统“先审批、后授权”的模式已无法适应 GitOps 和持续交付的节奏。
1.2 Kyverno 与 IDP 拓扑集成概述
本课程的核心技术栈围绕两个关键组件展开：Kyverno（Kubernetes 原生策略引擎）与 IDP（内部开发者平台）。两者的集成并非简单的工具叠加，而是通过策略即代码（Policy-as-Code）在平台拓扑中建立一道“安全权限工程层”。
下图展示了 Kyverno 在 IDP 拓扑中的核心位置及其与周边系统的交互关系：
从上图可以看出，Kyverno 在 IDP 拓扑中扮演着“策略执行网关”的角色。开发者通过 IDP 门户提交资源申请，IDP 将请求转发至 Kubernetes API Server，Kyverno 以动态准入控制（Admission Controller）的形式拦截请求，并根据预定义的策略自动生成或校验 RBAC、NetworkPolicy 等安全权限配置。
1.3 课程目标与学习路径
本课程旨在帮助学员建立从“策略编写”到“平台集成”的完整知识体系。课程结束后，学员将能够：
| 能力维度 | 具体目标 | 对应章节 |
|---|---|---|
| 策略编写 | 熟练使用 Kyverno 编写 Mutating / Validating 策略，处理 RBAC、ServiceAccount、Pod Security 等权限场景 | 第 2-8 章 |
| IDP 集成 | 将 Kyverno 策略与 Backstage / 自研 IDP 对接，实现策略模板化、自助服务化 | 第 9-15 章 |
| 安全工程 | 设计基于“最小权限”原则的权限基线，通过策略引擎实现自动化合规审计 | 第 16-22 章 |
| 生产运维 | 掌握策略灰度发布、性能调优、故障排查及多集群策略分发 | 第 23-28 章 |
| 综合实战 | 完成一个从零搭建“IDP + Kyverno 安全权限工程”的端到端项目 | 第 29-30 章 |
课程学习路径分为四个阶段，每个阶段都包含理论讲解、动手实验和案例复盘：
- 基础夯实（第 2-8 章）：从 Kyverno 安装、策略语法入手，逐步深入到 RBAC 自动生成、Pod Security 标准等核心权限场景。
- 平台集成（第 9-15 章）：聚焦 IDP 拓扑设计，学习如何将 Kyverno 策略封装为 IDP 的“安全权限模板”，并通过 Catalog 或 API 暴露给开发者。
- 工程进阶（第 16-22 章）：引入策略分层、异常处理、审计日志、多租户隔离等企业级能力，构建可治理的安全权限体系。
- 实战与优化（第 23-30 章）：通过真实业务场景（如微服务上线、第三方集成、合规整改）进行全流程演练，并学习性能调优与故障诊断。
学习建议： 本课程假设学员已具备 Kubernetes 基础操作能力（kubectl、YAML 编写、RBAC 基本概念）。如果你对 Kubernetes 权限模型尚不熟悉，建议先阅读官方文档中关于 ServiceAccount 和 RBAC 的章节，再开始本课程的学习。
1.4 课程核心概念关系图
为了帮助学员在课程开始前建立全局认知，下图展示了本课程涉及的几个核心概念之间的逻辑关系：
这张图揭示了本课程的核心逻辑：安全权限工程是目标，Kyverno 策略引擎是执行工具，IDP 是交互界面，而 Kubernetes 权限对象是最终被管理的实体。课程的所有内容都将围绕这四个要素及其相互关系展开。