1. 课程导论：Kyverno 缓存机制概述
1.1 为什么需要缓存？——策略执行性能的瓶颈
在 Kubernetes 集群中，Kyverno 作为动态准入控制器（Admission Webhook），拦截所有匹配策略的 API 请求（如 Pod 创建、Service 更新等）。每次拦截都需要执行以下步骤：
- 解析请求资源：提取 Kind、Namespace、Labels、Annotations 等字段。
- 匹配策略规则：遍历所有 ClusterPolicy / Policy，检查资源是否匹配。
- 执行引擎处理：对匹配的策略运行 validate / mutate / generate 逻辑。
- 调用外部数据：部分策略需要查询 ConfigMap、Secret 或 API Server 获取上下文数据。
如果没有缓存，每次准入请求都重复执行上述全链路，当集群规模较大（每秒数百个请求）时，Kyverno 的响应延迟会急剧上升，甚至导致 API Server 超时。缓存的核心作用就是复用已计算的结果，跳过重复的解析和匹配步骤。
1.2 Kyverno 缓存机制概述
Kyverno 内部维护了多层缓存体系，主要分为以下三类：
| 缓存类型 | 缓存内容 | 失效条件 | 性能影响 |
|---|---|---|---|
| 策略规则缓存 | 已解析的 Policy / ClusterPolicy 规则树 | 策略 CRUD 事件 | 减少规则解析时间 |
| 资源匹配缓存 | 资源类型 + Namespace + Labels 与策略的匹配结果 | 策略变更 / 资源变更 | 跳过匹配遍历 |
| 外部数据缓存 | ConfigMap / Secret / API Server 查询结果 | TTL 过期 / 数据源变更 | 减少 API Server 压力 |
关键指标：缓存命中率（Cache Hit Ratio）是衡量 Kyverno 性能的核心指标。命中率低于 90% 时，策略执行延迟通常会增加 3~5 倍。
1.3 缓存命中率如何影响策略执行性能
缓存命中率直接决定了每次准入请求的平均处理时间。以下是一个典型的性能对比：
| 场景 | 缓存命中 | 缓存未命中 | 性能差异 |
|---|---|---|---|
| 策略规则解析 | 0.1 ms | 5 ms | 50x |
| 资源匹配遍历 | 0.05 ms | 3 ms | 60x |
| 外部数据查询 | 0.2 ms | 15 ms | 75x |
| 总延迟（典型值） | 0.35 ms | 23 ms | ~65x |
当缓存命中率从 99% 下降到 80% 时，整体平均延迟会从约 0.6 ms 飙升到约 5 ms，对于高并发集群（如 500 QPS），Kyverno 的 CPU 和内存消耗也会成倍增长。
1.4 巡检与故障排查的重要性
缓存问题往往不是“完全不可用”，而是渐进式性能劣化。常见的故障模式包括：
- 缓存抖动：频繁的策略更新导致缓存反复失效，命中率剧烈波动。
- 缓存污染：大量不匹配的请求占满缓存，挤占有效条目。
- 缓存泄漏：外部数据缓存 TTL 设置过长，导致陈旧数据被命中。
- 缓存穿透：某些高频请求始终无法命中缓存（如动态生成的临时 Namespace）。
通过系统化的巡检，可以提前发现命中率下降趋势；通过故障排查，可以快速定位是策略配置问题、资源模式问题还是 Kyverno 内部缓存实现问题。
实践警示：很多团队在 Kyverno 出现性能问题时，第一反应是增加副本数或升级硬件，但根本原因往往是缓存配置不当。本课程后续章节将逐一拆解这些场景。
1.5 Kyverno 缓存工作流（SVG 架构图）
1.6 缓存命中率巡检的核心指标
在实际巡检中，需要关注以下四个关键指标：
| 指标名称 | Prometheus 查询语句 | 健康阈值 | 异常阈值 |
|---|---|---|---|
| 策略规则缓存命中率 | kyverno_cache_hits_total{type="policy"} / (kyverno_cache_hits_total{type="policy"} + kyverno_cache_misses_total{type="policy"}) |
> 95% | < 85% |
| 资源匹配缓存命中率 | kyverno_cache_hits_total{type="resource"} / (kyverno_cache_hits_total{type="resource"} + kyverno_cache_misses_total{type="resource"}) |
> 90% | < 80% |
| 外部数据缓存命中率 | kyverno_cache_hits_total{type="external"} / (kyverno_cache_hits_total{type="external"} + kyverno_cache_misses_total{type="external"}) |
> 85% | < 70% |
| 平均准入延迟 | histogram_quantile(0.99, rate(kyverno_admission_request_duration_seconds_bucket[5m])) |
< 1s | > 3s |
巡检建议：建议将上述指标配置到 Grafana 看板中，并设置 PagerDuty 或钉钉告警。当缓存命中率连续 5 分钟低于阈值时，自动触发故障排查流程。
1.7 本课程的学习路径
本课程共 30 章，分为四个阶段：
- 基础篇（第 1~5 章）：缓存机制原理、指标采集、巡检脚本编写。
- 诊断篇（第 6~15 章）：常见缓存问题模式（抖动、污染、穿透、泄漏）的定位方法。
- 优化篇（第 16~25 章）：策略配置优化、缓存参数调优、外部数据源缓存策略。
- 实战篇（第 26~30 章）：大型集群缓存压测、故障复盘、自动化巡检平台搭建。
通过本课程，你将掌握从指标采集 → 问题定位 → 根因分析 → 优化落地的完整闭环能力。