1. 课程导论：Kyverno与eBPF协同的背景、配额校准问题的定义、课程目标与学习路径
1.1 云原生配额管理的挑战与协同背景
在 Kubernetes 多租户环境中，资源配额（ResourceQuota）与 LimitRange 是保障集群公平性与稳定性的第一道防线。然而，传统基于 API Server 审计与 cAdvisor 指标的配额监控存在两大固有缺陷：
- 观测延迟高：cAdvisor 采集周期通常为 15s，无法捕捉毫秒级的突发资源争抢。
- 执行路径长：Admission Webhook 仅在 Pod 创建时校验，运行时超额无法实时拦截。
Kyverno 作为 Kubernetes 原生的策略引擎，擅长声明式策略的准入控制与资源校验；eBPF 则能深入内核态，实时捕获系统调用与资源使用事件。两者的协同，能够构建从“策略定义”到“内核观测”再到“实时校准”的闭环，从根本上解决配额校准的精度与时效问题。
核心洞察： Kyverno 负责“策略的声明与执行”，eBPF 负责“内核事件的采集与反馈”。协同后，配额校准从被动的事后审计升级为主动的运行时校准。
1.2 配额校准问题的定义
配额校准（Quota Calibration）是指在多租户 Kubernetes 集群中，确保每个命名空间或租户的实际资源消耗与 ResourceQuota 所设上限之间的偏差被及时发现并纠正的过程。典型问题场景包括：
| 问题维度 | 传统方案缺陷 | 协同方案优势 |
|---|---|---|
| 检测粒度 | 分钟级，依赖 cAdvisor 轮询 | 毫秒级，基于 eBPF 内核事件 |
| 策略执行 | 仅创建时校验，运行时无管控 | 运行时持续校准，动态调整 |
| 故障定位 | 依赖日志聚合，根因分析慢 | 内核调用链追踪，快速定位 |
| 校准闭环 | 人工介入，流程割裂 | 自动触发策略更新，闭环校准 |
常见误区： 不要将配额校准等同于简单的资源监控。校准的核心在于“策略驱动的偏差纠正”，而不仅仅是“数据采集”。Kyverno 提供策略上下文，eBPF 提供实时数据，两者缺一不可。
1.3 课程目标
完成本课程后，学员将能够：
- 理解协同原理：掌握 Kyverno 策略引擎与 eBPF 内核技术的协同工作模型。
- 搭建实验环境：在 Kubernetes 集群中部署 Kyverno 与 eBPF 采集组件。
- 编写校准策略：使用 Kyverno 定义基于 eBPF 指标的动态配额校准策略。
- 排查典型故障：通过 6 个真实工程案例，掌握配额校准失败的根因分析方法。
- 构建生产级方案：设计具备自愈能力的配额校准流水线。
1.4 学习路径与章节地图
课程共 30 章，分为四大阶段。建议按顺序学习，每章包含理论讲解、动手实验与故障案例。
学习建议： 阶段一和阶段二是基础，务必亲手完成环境部署与策略编写。阶段三的 eBPF 部分需要一定的 Linux 内核知识，建议提前复习系统调用与 cgroup 概念。阶段四的故障案例是课程精华，建议在实验环境中反复模拟。
1.5 预备知识
为获得最佳学习效果，建议学员具备以下基础：
- Kubernetes 基本操作（Pod、Namespace、ResourceQuota）
- Linux 容器技术基础（cgroup、namespace）
- 基本的 YAML 编写能力
- 了解 eBPF 基本概念（非必须，课程会从零讲解）