Conftest 策略测试器

要解决什么问题

在 Kubernetes 工作流里，部署清单（比如 deployment.yaml）往往是先写后审：先 kubectl apply，出问题再回滚。人工 review 既慢又容易漏掉「没有资源限制」「镜像来源不可信」「缺少必要标签」这类合规项。这个技能做的事情，是把策略检查前移到 apply 之前，让配置在合入或上线前先过一道自动化关卡。

技能如何工作

核心思路是 policy-as-code：用 OPA 的 Rego 语言写断言，用 Conftest 执行。

• 编写策略：把规则保存为 policy/deployment.rego，用 Rego 描述「合法的部署应该是什么样」，比如必须设置 spec.replicas、必须声明 resources.limits。
• 执行检查：针对 deployment.yaml 运行 Conftest，工具会把 YAML 解析成结构化数据，逐条匹配 Rego 规则。
• 读取结果：通过时给出确认；不通过时列出哪条规则失败、违反了哪个字段，直接定位到配置本身。

对开发者来说，策略和配置一样可以进版本库、走 code review，CI 里加一步就能拦住不合规的清单。

适用边界与注意点

• Conftest 只检查静态清单内容，不会验证集群运行时行为（比如 pod 是否真的按策略启动）。
• Rego 学习成本不低：规则写得太松等于没检查，太严又会产生大量噪音。
• 技能是策略加执行的组合，需要本机具备 Conftest（或等价工具）才能实际跑起来。
• 策略要跟着集群版本演进，不同 K8s 版本的字段结构可能存在差异。