1. 课程导论：Kyverno 与 eBPF 技术概述、配额校准的背景与挑战、课程目标与学习路径
1.1 技术概述：Kyverno 与 eBPF 的定位
本课程聚焦于云原生安全与资源治理的交叉领域，核心涉及两项关键技术：Kyverno 与 eBPF。理解二者的定位与协作关系是掌握后续配额校准机制的基础。
| 技术维度 | Kyverno | eBPF |
|---|---|---|
| 所属层次 | Kubernetes 控制面策略引擎（准入控制层） | Linux 内核运行时沙箱（数据面/内核层） |
| 核心能力 | 声明式策略定义、资源验证/变更/生成 | 安全可编程的内核插桩、观测与执行 |
| 作用时机 | 资源创建/更新时（准入 Webhook） | 系统调用/内核事件触发时（实时） |
| 典型场景 | Pod 安全标准、命名空间配额、镜像签名验证 | 容器逃逸检测、网络流量监控、性能剖析 |
| 本课程角色 | 策略编排与配额声明 | 内核级配额消耗校准与验证 |
关键认知：Kyverno 负责“声明什么是对的”，eBPF 负责“验证实际发生了什么”。配额校准正是二者在数据面与控制面之间的通信闭环。
1.2 配额校准的背景与挑战
在 Kubernetes 多租户环境中，资源配额（ResourceQuota） 是保障公平性与稳定性的基础机制。然而，传统配额模型存在以下核心挑战：
- 静态声明 vs 动态消耗： Kyverno 策略在准入阶段校验配额声明，但 Pod 运行后的实际资源消耗（如内存泄漏、突发 I/O）无法被实时追踪。
- 内核态资源盲区： 标准 Kubernetes 配额无法感知 cgroup 层级以下的细粒度资源（如 inode、TCP 连接数、内核内存）。
- 校准延迟与偏差： 控制面与数据面之间的配额状态同步存在时间窗口，导致“超配”或“误杀”现象。
- 策略与执行脱节： Kyverno 策略无法直接获取内核运行时数据，需要额外的通信机制来桥接。
课程动机： 本课程旨在通过 eBPF 实现内核级配额消耗的实时校准，并通过 Kyverno 策略引擎建立闭环通信机制，解决上述挑战。
1.3 课程目标与学习路径
完成本课程后，学员将具备以下能力：
- 理解架构： 掌握 Kyverno 与 eBPF 在配额校准场景中的协作架构与通信模型。
- 实现机制： 能够设计并实现基于 eBPF 的内核配额采集器，以及 Kyverno 策略的校准 Webhook。
- 测试验证： 掌握配额校准的端到端测试方法论，包括压力测试、边界测试与一致性校验。
- 生产部署： 具备在生产集群中部署配额校准系统的安全评估与运维能力。
学习路径分为四个阶段，对应课程章节结构：
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础篇 | 第 1-5 章 | Kyverno 策略编写、eBPF 基础开发环境 |
| 机制篇 | 第 6-15 章 | 配额校准通信协议、eBPF 采集器、Kyverno 校准策略 |
| 测试篇 | 第 16-25 章 | 单元测试、集成测试、混沌工程验证 |
| 实战篇 | 第 26-30 章 | 生产部署方案、性能调优、故障排查 |
1.4 核心架构：Kyverno 与 eBPF 的通信闭环
下图展示了本课程设计的配额校准通信机制的整体架构：
注意： 上图展示了本课程的核心通信闭环。实际实现中，eBPF 采集器与校准控制器之间的通信需要处理高并发、低延迟以及内核版本兼容性问题，这些将在后续章节详细展开。
1.5 课程预备知识
为获得最佳学习效果，建议学员具备以下基础：
- Kubernetes 基础： 熟悉 Pod、Namespace、ResourceQuota、准入 Webhook 等核心概念。
- Linux 内核基础： 了解 cgroup、系统调用、内核模块加载等基本知识。
- 编程语言： 具备 Go 语言基础（用于 Kyverno 策略开发与 eBPF 用户态程序）。
- eBPF 入门： 了解 BPF 程序类型（如 kprobe、tracepoint、cgroup hook）及 BCC/libbpf 库的基本用法。
学习建议： 如果对 eBPF 完全陌生，建议先学习本课程配套的《eBPF 快速入门》附录章节（第 0 章），或参考内核官方文档。
1.6 本章小结
本章建立了课程的技术背景与学习框架。核心要点包括：
- Kyverno 与 eBPF 分别位于控制面与数据面，配额校准需要二者的通信闭环。
- 传统配额模型存在静态声明、内核盲区、校准延迟等挑战。
- 课程分为基础、机制、测试、实战四个阶段，循序渐进。
- 通信架构的核心链路为：Kyverno 策略 → 校准控制器 → eBPF 采集器 → 内核资源层 → 反馈闭环。