1. 课程导论：准入控制链路概述、OPA在Kubernetes中的角色、资源配额概念、延迟敏感性与课程目标

1.1 准入控制链路概述

Kubernetes API Server 在处理资源请求（如创建 Pod、Service）时，会经过一系列内置与动态准入控制器（Admission Controller）的检查。这些控制器在请求被持久化到 etcd 之前执行验证（Validating）与变更（Mutating）操作，形成一条完整的准入控制链路。

典型的准入控制链路执行顺序如下：

1. 认证与授权：确认请求者身份与权限。
2. Mutating Admission Webhooks：修改请求对象（如注入 Sidecar）。
3. 对象模式验证：内置控制器检查资源字段合法性。
4. Validating Admission Webhooks：执行自定义策略检查（如 OPA/Gatekeeper）。
5. 资源配额检查：ResourceQuota 控制器验证命名空间资源总量是否超限。
6. 持久化到 etcd：通过所有检查后写入存储。

1.2 OPA 在 Kubernetes 中的角色

Open Policy Agent（OPA）是一个开源的通用策略引擎，在 Kubernetes 生态中通常以 Gatekeeper 或 OPA-Envoy 的形式部署为 Validating Admission Webhook。其核心职责包括：

• 策略定义：使用 Rego 语言编写策略规则，覆盖安全、合规、资源限制等场景。
• 实时决策：在 API Server 发起准入请求时，OPA 根据策略集返回 allow/deny 结果。
• 审计与报告：记录违反策略的请求，支持集群合规审计。

1.3 资源配额概念

Kubernetes 的 ResourceQuota 是命名空间级别的资源约束机制，用于限制 CPU、内存、存储以及对象数量（如 Pod、Service 数量）。其核心概念包括：

• 硬配额（Hard）：命名空间内资源使用的上限，超过则拒绝请求。
• 作用域（Scope）：配额可针对特定类别（如 BestEffort、NotTerminating）生效。
• 配额检查时机：在准入控制链路末尾执行，基于 etcd 中当前资源使用量计算。

资源配额与 OPA 的交互关系如下表所示：

1.4 延迟敏感性与课程目标

在大型生产集群中，准入控制链路的延迟直接影响 API Server 的吞吐能力与用户体验。OPA 作为策略决策点，其延迟受以下因素影响：

• Rego 规则复杂度：嵌套循环、大量数据查询会显著增加评估时间。
• 资源配额状态：配额接近上限时，OPA 可能需要查询更多集群数据。
• 并发请求量：高并发下 OPA 实例的 CPU 与内存竞争加剧延迟。
• 缓存失效：频繁的集群变更导致 OPA 缓存命中率下降。

1.5 课程目标

通过本课程的学习，学员将能够：

1. 理解准入控制链路全貌：掌握 OPA 与资源配额在链路中的位置与交互机制。
2. 量化延迟影响：使用基准测试工具测量 OPA 在不同配额状态下的延迟分布。
3. 识别瓶颈：分析 Rego 规则、缓存策略、配额配置对延迟的具体影响。
4. 实施优化：应用规则简化、缓存预热、配额分片等技巧降低延迟。
5. 建立监控体系：设计延迟告警与性能看板，持续保障准入控制链路健康。