2. 环境准备：Kubernetes集群搭建、Kyverno安装与配置、Prometheus与Grafana部署

本章是课程的基础设施搭建环节。你将依次完成：一个功能完整的Kubernetes集群、Kyverno策略引擎、以及Prometheus+Grafana监控栈的部署。所有操作均面向生产级配置，并为后续“缓存命中巡检”实验提供稳定的运行环境。

2.1 整体环境架构

下图展示了三个核心组件在集群内的部署关系与数据流向。Kyverno作为动态准入控制器拦截资源请求，Prometheus采集Kyverno指标，Grafana负责可视化巡检结果。

2.2 Kubernetes集群搭建

本课程使用 kubeadm 部署一个 1 控制平面 + 2 工作节点的集群。最低要求：控制平面 2 核 4G，工作节点 2 核 4G，操作系统 Ubuntu 22.04 LTS。

2.2.1 节点规格与角色

2.2.2 部署步骤（关键命令）

1. 所有节点：安装容器运行时（containerd）、kubelet、kubeadm、kubectl，并执行 kubeadm init 前的系统配置。
2. 控制平面：执行 kubeadm init --pod-network-cidr=10.244.0.0/16，初始化集群。
3. 所有节点：安装 CNI 插件（本课程使用 Flannel）：kubectl apply -f https://raw.githubusercontent.com/flannel-io/flannel/master/Documentation/kube-flannel.yml。
4. 工作节点：执行 kubeadm join 命令加入集群。

2.3 Kyverno安装与配置

Kyverno 通过 Helm Chart 部署到 kyverno 命名空间。本课程使用 Kyverno v1.12+，支持缓存命中指标暴露。

2.3.1 安装步骤

# 添加 Kyverno Helm 仓库
helm repo add kyverno https://kyverno.github.io/kyverno/
helm repo update

# 创建命名空间并安装
kubectl create namespace kyverno
helm install kyverno kyverno/kyverno \
  --namespace kyverno \
  --set features.policyReports.enabled=true \
  --set admissionController.metrics.enabled=true \
  --set admissionController.metrics.serviceMonitor.enabled=true

2.3.2 关键配置参数

2.3.3 验证安装

# 检查 Pod 状态
kubectl get pods -n kyverno -l app.kubernetes.io/name=kyverno

# 检查 Kyverno 是否正常响应
kubectl get validatingwebhookconfigurations -l app.kubernetes.io/name=kyverno

2.4 Prometheus与Grafana部署

本课程使用 kube-prometheus-stack Helm Chart 一键部署 Prometheus、Alertmanager 和 Grafana。该 Chart 会自动创建 ServiceMonitor 并抓取 Kyverno 指标。

2.4.1 部署步骤

# 添加 Prometheus 社区 Helm 仓库
helm repo add prometheus-community https://prometheus-community.github.io/helm-charts
helm repo update

# 创建监控命名空间
kubectl create namespace monitoring

# 安装 kube-prometheus-stack
helm install prometheus prometheus-community/kube-prometheus-stack \
  --namespace monitoring \
  --set grafana.adminPassword=admin123 \
  --set prometheus.prometheusSpec.serviceMonitorSelectorNilUsesHelmValues=false

2.4.2 关键参数说明

2.4.3 验证监控链路

1. 确认 Prometheus 目标中已包含 Kyverno：访问 Prometheus UI（kubectl port-forward -n monitoring svc/prometheus-operated 9090），在 Targets 页面搜索 kyverno。
2. 确认 Grafana 可访问：kubectl port-forward -n monitoring svc/prometheus-grafana 3000:80，浏览器打开 http://localhost:3000，使用 admin / admin123 登录。
3. 在 Grafana 中导入 Kyverno 官方仪表盘（ID: 17626），验证缓存命中相关指标是否正常显示。

2.5 环境验证清单

完成上述部署后，请逐项确认以下检查点，确保环境就绪：