1. 课程导论：IDP拓扑概述、Kyverno在网络策略中的角色、故障排查的总体方法论
1.1 内部开发者平台（IDP）拓扑概述
现代企业内部开发者平台（IDP）通常采用控制平面 + 数据平面的分离架构。控制平面负责策略管理、模板分发与租户隔离；数据平面承载实际的工作负载与网络通信。在这种拓扑中，网络策略的复杂性呈指数级增长，故障点往往隐藏在跨命名空间、跨集群甚至跨环境的流量路径中。
IDP 典型拓扑关键特征：
- 多租户隔离：每个开发团队拥有独立的命名空间或虚拟集群，网络策略需按租户粒度生效。
- 动态服务网格：服务间通信依赖 Sidecar 代理（如 Istio），网络策略需与 mTLS 和授权策略协同。
- 策略即代码：网络策略通过 GitOps 流程声明式下发，Kyverno 作为策略引擎负责校验与生成。
- 可观测性缺失：默认 Kubernetes 网络策略缺乏日志与指标，故障定位依赖外部工具。
1.2 Kyverno 在网络策略中的角色
Kyverno 在 IDP 网络策略生态中扮演策略生成器与策略验证器的双重角色。它不直接管理数据平面的网络规则，而是通过 Kubernetes 准入控制机制，在资源创建或更新时自动注入、校验或修补 NetworkPolicy 对象。
| 角色 | Kyverno 策略类型 | 典型场景 | 故障排查关注点 |
|---|---|---|---|
| 策略生成器 | generate |
自动为每个新命名空间创建默认 deny-all 策略 | 生成规则是否匹配命名空间标签；是否存在策略冲突 |
| 策略验证器 | validate |
禁止创建允许所有入站流量的宽松策略 | 验证规则是否误拦截合法策略；异常模式是否触发告警 |
| 策略变异器 | mutate |
为工作负载自动添加网络策略标签选择器 | 变异顺序是否导致标签覆盖；准入 Webhook 超时 |
关键认知：Kyverno 生成的 NetworkPolicy 遵循 Kubernetes 默认的“白名单”模型——未显式允许的流量默认被拒绝。因此，Kyverno 策略的缺失或错误配置会直接导致服务间通信中断，这是 IDP 中最常见的故障模式。
1.3 故障排查的总体方法论
针对 Kyverno 网络策略在 IDP 拓扑中的故障，我们采用分层递进式排查模型，从最外层的策略生效性逐步深入到数据平面的实际流量路径。
1.4 故障排查核心原则
- 从外到内：先确认 Kyverno 策略引擎本身是否正常工作，再检查生成的 NetworkPolicy 对象，最后验证数据平面。
- 最小化复现：在隔离的测试命名空间中用最小化 Pod 和策略复现故障，避免生产租户干扰。
- 日志先行：Kyverno 的
PolicyReport资源和准入 Webhook 日志是定位策略未生效的第一手证据。 - 标签溯源：80% 的网络策略故障源于标签选择器不匹配，务必使用
kubectl get pods --show-labels交叉验证。
常见陷阱：Kyverno 的
generate 策略默认只在资源创建时触发。如果运维人员手动删除了某个命名空间的 NetworkPolicy，Kyverno 不会自动重新生成，除非配置了 synchronize: true。这种“静默丢失”是 IDP 中导致网络中断的隐蔽原因。
1.5 课程路线图
| 章节 | 核心内容 | 故障排查技能 |
|---|---|---|
| 第2-5章 | Kyverno 策略基础与 NetworkPolicy 生成原理 | 策略未生成、生成错误、标签不匹配 |
| 第6-10章 | IDP 多租户场景下的策略隔离与冲突 | 租户间流量泄漏、策略优先级冲突 |
| 第11-15章 | 数据平面连通性验证与工具链 | 使用 kubectl exec、netshoot、cilium monitor 定位流量阻断 |
| 第16-20章 | 高级故障模式与性能调优 | 大规模策略性能退化、Webhook 超时、策略循环 |
| 第21-25章 | 自动化诊断与可观测性集成 | PolicyReport 分析、告警规则编写、Grafana 面板 |
| 第26-30章 | 实战案例与综合演练 | 端到端故障排查剧本、Root Cause Analysis 模板 |
本课程将围绕上述方法论，结合真实 IDP 环境中的故障案例，逐步拆解 Kyverno 网络策略的排查技巧。每一章都会提供可复用的命令、策略模板和诊断流程图，帮助你在生产环境中快速定位并修复网络策略问题。