1. 课程导论：什么是镜像冷启动、为什么需要发布证据、Gatekeeper 在其中的角色
1.1 镜像冷启动：定义与核心挑战
在云原生环境中，镜像冷启动（Image Cold Start）指的是容器运行时首次从远程镜像仓库拉取并加载一个本地不存在的容器镜像的过程。与之相对的是“热启动”，即镜像已被缓存到节点本地，可直接复用。
冷启动是影响 Pod 就绪时间的关键瓶颈，尤其在以下场景中表现突出：
- 大规模集群扩缩：新节点加入集群时，需要拉取大量业务镜像。
- CI/CD 流水线：每次构建的新镜像版本（如
v1.2.3）在首次部署时必然触发冷启动。 - 边缘计算与突发流量：资源受限的边缘节点或突发扩容场景下，镜像拉取延迟直接拖慢服务响应。
关键指标： 镜像冷启动时间通常占 Pod 启动总时间的 60%–80%。一个 500MB 的未缓存镜像，在常规公网带宽下可能需要 30–60 秒才能完成拉取和解压。
冷启动的核心挑战可归纳为以下四个维度：
| 维度 | 具体问题 | 典型影响 |
|---|---|---|
| 网络带宽 | 镜像层数据从远程仓库传输到节点 | 大镜像（>1GB）拉取耗时可达分钟级 |
| 存储 I/O | 镜像层解压、写入本地文件系统 | 高并发拉取时磁盘成为瓶颈 |
| 镜像大小 | 基础镜像臃肿、包含无关依赖 | 拉取和解压时间线性增长 |
| 仓库限速 | 公共仓库（如 Docker Hub）的拉取频率限制 | 突发扩容时被限流，Pod 无法启动 |
1.2 为什么需要发布证据
在金融、医疗、政务等合规敏感行业，仅仅“让容器跑起来”远远不够。运维和安全团队必须能够证明：某个生产环境中的镜像，确实是由经过授权的 CI/CD 流水线构建、经过安全扫描、并按照既定策略发布的。这就是发布证据（Release Evidence）的核心诉求。
发布证据需要回答以下三个关键问题：
- 镜像来源可信吗？ —— 镜像是否来自受信任的仓库？是否被篡改过？
- 发布流程合规吗？ —— 是否经过了必要的审批、扫描、签名步骤？
- 运行时与声明一致吗？ —— 实际运行的镜像 digest 是否与发布清单中的记录一致？
行业实践： 在 SOC 2、PCI DSS、ISO 27001 等审计中，监管机构会要求企业提供“镜像从构建到运行”的完整证据链。缺少发布证据，轻则审计发现项，重则面临合规处罚。
发布证据通常包含以下数据元素：
| 证据要素 | 说明 | 示例 |
|---|---|---|
| 镜像 Digest | 镜像内容的加密哈希值，唯一标识镜像内容 | sha256:a1b2c3d4... |
| 构建元数据 | CI 流水线 ID、构建时间、代码提交 SHA | build-12345, commit-abcde |
| 签名信息 | 使用私钥对镜像 digest 进行数字签名 | cosign 签名, TUF 元数据 |
| 安全扫描报告 | 漏洞扫描结果、CVE 列表、修复状态 | Trivy, Grype 报告 |
| 审批记录 | 人工或自动审批的凭证 | Jira ticket, PR approval |
1.3 Gatekeeper 在其中的角色
Gatekeeper 是 Kubernetes 原生的策略控制器，基于 OPA（Open Policy Agent） 实现。它允许集群管理员以声明式的方式定义策略，并在资源创建或更新时自动执行准入控制（Admission Control）。
在镜像冷启动发布证据的场景中，Gatekeeper 扮演了策略执行网关的角色，确保只有携带完整发布证据的镜像才能被允许在集群中运行。其核心职责包括：
- 强制镜像来源策略：只允许从受信任的镜像仓库拉取镜像。
- 验证镜像签名：在 Pod 创建前，检查镜像是否包含有效的数字签名。
- 校验发布证据：通过注解（Annotations）或标签（Labels）验证镜像是否携带必要的构建元数据和安全扫描报告。
- 阻断不合规冷启动：当镜像缺少证据或证据不完整时，直接拒绝 Pod 创建请求，从源头防止“裸奔”镜像进入生产环境。
注意： Gatekeeper 本身不负责构建镜像或生成发布证据。它的职责是执行策略——在 Pod 创建的关键时刻，验证镜像是否满足预先定义的证据要求。证据的生成和存储应由 CI/CD 流水线（如 Tekton、GitHub Actions）和签名工具（如 Cosign、Notary）完成。
1.4 课程核心目标
通过本课程，你将掌握以下能力：
- 理解镜像冷启动的延迟构成与优化方向。
- 设计并实现一套完整的镜像发布证据体系（签名 + 元数据 + 扫描报告）。
- 使用 Gatekeeper 编写 OPA 策略，在 Kubernetes 准入阶段自动校验发布证据。
- 构建“声明式策略 + 自动化证据生成 + 运行时强制校验”的端到端安全发布流水线。
接下来的章节，我们将从 Gatekeeper 的安装与基础策略编写开始，逐步深入到镜像签名验证、证据数据结构设计、以及生产级策略模板的构建。准备好让你的集群只运行“有证可查”的镜像了吗？