1. 课程导论：准入控制与 OPA 概述、缓存延迟问题的背景与影响

1.1 什么是 Kubernetes 准入控制

Kubernetes 准入控制（Admission Control）是 API Server 在处理资源请求（如创建 Pod、Service）时，在对象持久化到 etcd 之前执行的一组拦截与校验机制。准入控制器分为两类：

• Mutating（变更）：在请求到达时修改资源对象（如注入 Sidecar、设置默认标签）。
• Validating（验证）：仅检查资源对象是否符合策略，不修改其内容。

准入控制是集群安全的最后一道防线，任何不符合策略的请求都会被拒绝，从而防止配置错误或恶意操作进入生产环境。

1.2 OPA（Open Policy Agent）与 Gatekeeper

OPA 是一个开源的、通用的策略引擎，使用 Rego 语言编写策略。在 Kubernetes 生态中，OPA 通常以 Gatekeeper 的形式部署为准入控制器。Gatekeeper 将 OPA 作为 Webhook 集成到 API Server 的准入链中，实现策略即代码（Policy as Code）。

1.3 缓存延迟问题的背景与影响

在生产环境中，Gatekeeper 和 OPA 通常启用缓存来加速策略查询。缓存可以减少对 etcd 或外部数据源的重复请求，降低准入延迟。然而，缓存机制也引入了新的风险：

• 缓存未及时更新：当策略或数据发生变化时，缓存可能仍返回旧值，导致决策错误。
• 缓存过期策略不当：TTL 设置过长会导致策略生效延迟；TTL 过短则增加后端负载。
• 缓存一致性失效：在分布式部署中，多个 OPA 实例的缓存可能不一致，造成同一请求在不同节点上得到不同结果。

1.4 课程目标与受众

本课程旨在帮助学员系统掌握准入控制场景下 Rego 策略缓存延迟的故障排查方法。通过理论讲解、实战案例和工具演示，学员将能够：

• 理解 OPA 缓存机制的工作原理与常见配置。
• 识别缓存延迟的典型症状与根因。
• 使用诊断工具（如 OPA 内置指标、日志、trace）定位问题。
• 制定缓存策略优化方案，避免延迟问题复发。