1. 课程导论：API弃用背景、Kyverno策略引擎简介、资源校准概念、课程目标与受众
1.1 API弃用背景：为什么现在必须关注？
Kubernetes 社区以每三个月一个大版本的速度迭代，API 版本的生命周期管理是集群运维中最容易被忽视的风险点。每个 Kubernetes 版本都会标记一批旧 API 为 弃用（Deprecated），并在后续版本中彻底移除。一旦集群升级，使用已移除 API 的资源将无法被 API Server 识别，导致资源丢失、控制器崩溃、业务中断。
⚠️ 典型事故场景：某团队在 v1.22 集群中大量使用
extensions/v1beta1 的 Ingress 资源，升级到 v1.25 后所有 Ingress 对象无法读取，Ingress Controller 报错 404，生产流量中断 2 小时。事后统计，超过 60% 的 Ingress 未提前迁移。
下表列出了近三个主要版本中已移除或即将移除的关键 API 组，帮助建立紧迫感：
| Kubernetes 版本 | 已移除 / 即将移除的 API | 影响范围 |
|---|---|---|
| v1.22 | extensions/v1beta1（Ingress、DaemonSet、Deployment、ReplicaSet、NetworkPolicy） |
几乎所有使用旧版 Ingress 的集群 |
| v1.25 | batch/v1beta1（CronJob）、discovery.k8s.io/v1beta1（EndpointSlice） |
定时任务、服务发现组件 |
| v1.26 | autoscaling/v2beta2（HorizontalPodAutoscaler）、flowcontrol.apiserver.k8s.io/v1beta1 |
HPA 弹性伸缩、API 优先级与公平性 |
💡 核心认知：API 弃用不是“未来可能发生”，而是“已经发生且正在加速”。每个版本升级窗口都是风险窗口，手动检查数千个资源不现实，必须依赖自动化策略引擎。
1.2 Kyverno 策略引擎简介
Kyverno 是专为 Kubernetes 设计的云原生策略引擎，由 Nirmata 开源，目前是 CNCF 毕业项目。与 OPA/Gatekeeper 不同，Kyverno 使用 Kubernetes 原生的 自定义资源（CRD） 定义策略，无需学习 Rego 语言，运维人员可以直接用 YAML 编写策略规则。
Kyverno 的核心能力可归纳为三个维度：
- 验证（Validate）：拦截资源创建/更新请求，检查是否违反策略（如禁止使用
latest镜像标签）。 - 变更（Mutate）：自动修改资源字段（如为所有 Pod 注入 Sidecar 容器）。
- 生成（Generate）：基于源资源自动创建关联资源（如为每个 Namespace 创建默认 NetworkPolicy）。
针对 API 弃用检测，Kyverno 的 验证策略 是最直接的工具——它可以检查资源中使用的 apiVersion 字段，一旦发现已弃用或已移除的版本，立即拒绝创建或发出告警。
1.3 资源校准概念
资源校准（Resource Calibration） 是本课程提出的核心方法论，指通过自动化策略持续检测、评估并修复集群中所有 Kubernetes 资源与目标 API 版本之间的偏差。它不是一次性的迁移工具，而是一个 持续合规闭环。
资源校准包含三个关键阶段：
- 检测（Detect）：扫描集群中所有资源，识别使用已弃用或即将移除 API 版本的资源。
- 评估（Evaluate）：根据弃用时间线、资源影响范围、业务优先级，对每个资源进行风险评级。
- 修复（Remediate）：自动或半自动地将资源迁移到目标 API 版本，并验证迁移后的正确性。
📌 关键区别：传统做法是“升级前手动检查 → 升级后修复”，资源校准则是“持续检测 → 持续修复 → 升级时零风险”。Kyverno 策略引擎是实现这一闭环的最佳基础设施。
1.4 课程目标与受众
本课程旨在帮助学员掌握以下核心能力：
| 能力维度 | 具体目标 | 交付成果 |
|---|---|---|
| 策略编写 | 熟练使用 Kyverno 编写 API 版本验证、变更和生成策略 | 可直接投入生产的策略模板库 |
| 检测集成 | 将 Kyverno 策略集成到 CI/CD 流水线和集群审计流程 | 自动化检测脚本 + 告警规则 |
| 资源校准 | 设计并实施资源校准闭环，实现零风险集群升级 | 校准流程文档 + 迁移工具链 |
| 故障排查 | 快速定位 API 弃用导致的资源异常，并制定修复方案 | 排查清单 + 常见问题手册 |
目标受众：
- Kubernetes 运维工程师：负责集群升级、资源管理和策略治理，希望降低升级风险。
- 平台工程师：构建内部开发者平台，需要将 API 合规检查嵌入平台能力。
- 安全工程师：关注云原生安全基线，需要自动化策略来强制执行版本合规。
- DevOps 工程师：负责 CI/CD 流水线，希望在部署阶段拦截不合规资源。
🎯 前置要求：学员需具备 Kubernetes 基础操作能力（kubectl、YAML 编写），了解 Admission Webhook 基本概念。无需 Kyverno 或 OPA 经验，课程将从零开始构建策略。