1. 课程导论：Kubecost与eBPF配额校准的背景、高风险变更的定义、课程目标与学习路径
1.1 为什么需要配额校准？
在Kubernetes生产环境中，资源配额（ResourceQuota）与LimitRange是保障多租户隔离与资源公平性的核心机制。然而，传统配额管理存在三大痛点：
- 静态配置：配额基于历史峰值或人工估算设定，缺乏对实际运行时资源消耗的感知。
- 变更盲区：当Pod的requests/limits被修改、HPA触发扩缩容或Sidecar注入时，配额可能瞬间被突破，导致调度失败或OOMKill。
- 成本黑洞：未校准的配额会引发资源碎片化，集群整体利用率低于40%，而Kubecost账单显示大量“已分配但未使用”的CPU/内存。
eBPF（Extended Berkeley Packet Filter）技术通过在内核态捕获cgroup级别的CPU、内存、网络I/O事件，能够以纳秒级精度采集Pod的实际资源使用量，为配额校准提供实时数据基础。
核心洞察：Kubecost的成本分析引擎结合eBPF的实时数据流，可将配额校准从“人工拍脑袋”升级为“数据驱动+自动准入控制”的闭环。
1.2 高风险变更的定义与分类
本课程将“高风险变更”定义为：任何可能直接导致配额违规、成本异常或集群稳定性下降的Kubernetes资源变更操作。根据变更对象与影响范围，分为以下四类：
| 变更类型 | 典型操作 | 风险等级 | eBPF校准价值 |
|---|---|---|---|
| Pod资源规格变更 | 修改container.resources.requests/limits | 高 | 实时检测新规格是否超出Namespace剩余配额 |
| HPA/VPA策略变更 | 调整minReplicas/maxReplicas或目标利用率 | 高 | 预测扩缩容后的配额消耗峰值 |
| Sidecar/Init容器注入 | 通过MutatingWebhook添加额外容器 | 中 | 累加所有容器的实际使用量，避免隐性超配 |
| Namespace配额阈值调整 | 修改ResourceQuota的hard字段 | 中 | 验证新阈值是否覆盖所有运行中Pod的实际需求 |
常见误区：仅依赖Kubecost的历史成本数据做配额决策，而忽略eBPF提供的实时使用量，会导致“成本优化”与“稳定性保障”脱节。例如：某Deployment过去7天平均CPU使用率为200m，但eBPF捕获到其每5分钟有1次突发300m的峰值，若按200m设置配额上限，则突发时Pod将被驱逐。
1.3 课程目标
完成本课程后，学员将具备以下能力：
- 理解eBPF配额校准原理：掌握eBPF如何通过kprobe/tracepoint捕获cgroup CPU记账、内存回收、网络流量等事件，并转化为Kubecost可消费的指标。
- 构建准入策略：使用Kubecost的Admission Controller或OPA/Gatekeeper，编写基于eBPF实时数据的配额校验规则，拦截高风险变更。
- 实施变更治理流程：设计“变更前模拟 → 变更中准入 → 变更后审计”的三阶段治理模型，降低配额违规率。
- 量化优化效果：通过Kubecost的成本报表与eBPF的实时仪表盘，对比校准前后的资源利用率、成本节省与SLA达标率。
1.4 学习路径与知识图谱
本课程共30章，分为四大模块。下图展示了核心知识体系与章节依赖关系：
1.5 课程实验环境与工具链
本课程所有实验均基于以下标准环境，建议学员提前准备：
- Kubernetes集群：v1.28+，启用Linux内核CONFIG_BPF、CONFIG_DEBUG_INFO_BTF。
- Kubecost：v2.0+，开启eBPF Agent（通过DaemonSet部署）。
- eBPF工具：BCC工具集（用于调试）、bpftrace（用于快速验证）。
- 准入控制器：OPA/Gatekeeper v3.16+ 或 Kyverno v1.12+。
快速验证命令：在集群任意节点执行
cat /sys/kernel/btf/vmlinux | head -c 100 确认BTF可用；执行 kubectl get pods -n kubecost | grep ebpf 确认eBPF Agent运行正常。