1. 课程导论：OPA 与资源配额的关系、延迟问题的背景、课程目标与受众

1.1 为什么资源配额会影响 OPA 策略延迟？

在云原生环境中，Open Policy Agent (OPA) 作为通用策略引擎，负责对 Kubernetes 资源变更、API 请求等进行实时授权决策。OPA 本身是一个无状态服务，其性能高度依赖运行时的计算资源（CPU、内存）以及策略评估的复杂度。当 OPA 部署在 Kubernetes 集群中时，资源配额（Resource Quotas） 直接限制了 OPA 实例可使用的 CPU 和内存上限。

资源配额配置不当，会导致 OPA 在以下场景中出现显著的延迟抖动：

• CPU 节流（Throttling）：当配额设置的 CPU 限制过低，OPA 在并发策略评估时频繁被操作系统节流，导致单次评估时间从毫秒级飙升到秒级。
• 内存不足（OOM）：配额内存过小，OPA 在加载大型 Rego 规则集或处理复杂 JSON 输入时触发 OOM Kill，造成请求中断和重试风暴。
• GC 压力增大：内存配额紧张会迫使 Go 运行时更频繁地触发垃圾回收，进一步增加策略评估的尾延迟（Tail Latency）。

1.2 OPA 与资源配额的关系模型

下图展示了 OPA 在 Kubernetes 准入控制链路中的位置，以及资源配额如何作用于 OPA 实例的运行时环境。

1.3 延迟问题的背景：从微秒到秒的鸿沟

在生产环境中，OPA 策略评估的理想延迟通常在 1ms ~ 10ms 范围内。然而，当资源配额配置不合理时，实际延迟可能发生数量级的变化：

1.4 课程目标与受众

本课程旨在帮助云原生工程师系统性地理解资源配额与 OPA 策略延迟之间的关联，并提供可操作的调优方法。课程结束后，学员将能够：

• 诊断：识别由资源配额引起的 OPA 延迟问题，区分 CPU 节流、内存压力和 GC 影响。
• 量化：使用基准测试工具测量不同配额配置下的延迟分布（P50 / P95 / P99）。
• 调优：根据策略特征和负载模式，制定合理的资源配额建议值。
• 预防：设计配额监控和告警策略，避免延迟问题蔓延到生产环境。

目标受众：

1.5 课程内容概览

本课程共分为 6 个模块，逐步深入：

1. 导论（本章）—— 建立问题背景和知识框架。
2. OPA 性能模型 —— 分析 CPU、内存、GC 对策略评估的影响机制。
3. 资源配额原理 —— 深入 Kubernetes ResourceQuota 和 LimitRange 的工作方式。
4. 基准测试方法 —— 使用 opa bench 和 kube-burner 进行延迟测量。
5. 调优实践 —— 针对不同策略类型给出配额配置建议。
6. 监控与告警 —— 建立延迟指标的可观测性体系。