1. 课程导论：资源配额与 OPA 规则在云原生中的定位、性能调优的重要性、课程目标与学习路径
1.1 云原生资源管理的核心矛盾
Kubernetes 集群在生产环境中面临两大核心挑战：资源争抢与策略合规。资源配额（ResourceQuota & LimitRange）保障了多租户场景下的资源公平性，而 OPA/Gatekeeper 规则则实现了安全与合规的自动化准入控制。然而，随着集群规模增长，这两套机制若配置不当，会直接导致调度延迟、API Server 过载、拒绝请求激增等性能问题。
关键洞察： 资源配额与 OPA 规则并非独立存在——它们在 API Server 的准入链中串联执行，任何一方的性能瓶颈都会放大整体延迟。本课程将二者联合调优，而非孤立看待。
1.2 资源配额与 OPA 规则的定位对比
| 维度 | 资源配额（ResourceQuota / LimitRange） | OPA / Gatekeeper 规则 |
|---|---|---|
| 核心职责 | 硬性资源边界控制（CPU/内存/存储/对象数量） | 策略即代码（安全、合规、标签、镜像来源等） |
| 执行阶段 | Kubernetes 内置准入控制器（ResourceQuota / LimitRanger） | 动态准入 Webhook（Gatekeeper 拦截 Mutating / Validating） |
| 性能敏感点 | 配额计算、对象计数、更新风暴 | Rego 查询复杂度、规则数量、缓存命中率 |
| 调优目标 | 减少 API Server 写放大、避免频繁重新计算 | 降低 Webhook 延迟、减少 Rego 重复评估 |
1.3 性能调优的重要性：从数字看影响
在生产集群中，未调优的资源配额与 OPA 规则可能引发以下连锁反应：
- API Server 延迟飙升： 单个 Namespace 下 500+ 个 ResourceQuota 对象会导致每次 Pod 创建触发 O(N) 次配额校验，延迟从 5ms 升至 200ms+。
- Webhook 超时： 复杂 Rego 规则（如多层循环、外部数据查询）在 3s 超时窗口内无法完成，导致 Pod 创建失败。
- etcd 写入放大： 频繁的配额状态更新（如临时 Pod 大量创建/删除）使 etcd 写入 QPS 翻倍，影响集群稳定性。
常见误区： 很多团队只关注 OPA 规则的逻辑正确性，却忽略了 Rego 查询的复杂度与缓存策略。同样，资源配额往往被当作“一次性配置”，从未进行压力测试与动态调整。
1.4 课程核心架构图：资源配额与 OPA 规则在准入链中的位置
1.5 课程目标与学习路径
本课程旨在帮助学员掌握以下核心能力：
- 诊断能力： 使用 Prometheus、Kubernetes 审计日志、Gatekeeper 指标识别资源配额与 OPA 规则的性能瓶颈。
- 调优能力： 掌握 ResourceQuota 聚合策略、LimitRange 默认值优化、Rego 查询剪枝、Webhook 超时与缓存配置。
- 工程化能力： 设计可测试、可灰度、可回滚的配额与策略变更流程，避免生产事故。
1.6 学习路径与章节地图
学习建议： 建议学员先完成阶段1的基础实验，再进入诊断与调优环节。每个阶段都配有可复现的 YAML 与 Rego 代码示例，可直接在 Minikube 或 Kind 集群中运行。