技能介绍

为什么需要部署前静态扫描

当 Kubernetes 清单或 Helm 图表直接部署到集群时，常见的配置错误、缺失的资源限制（如 CPU/Memory limits）或危险的默认配置往往要到应用运行后才暴露。这不仅会导致 Pod 被 OOM Kill 或资源争抢，还可能引入严重的安全漏洞。在资源真正下发到集群之前，我们需要一个能够快速拦截这些“缺陷”的静态检查机制，避免将问题带入生产环境。

核心能力与工作步骤

该技能通过 KubeLinter 对 YAML 文件和 Helm 图表执行静态策略扫描。其工作流非常直接：首先，确保环境中具备 KubeLinter 的运行环境（如二进制、容器镜像或源码构建）；其次，将待部署的 Kubernetes 清单或 Helm/Kustomize 输入提供给扫描器；最后，执行策略评估并获取违规报告。你还可以将其作为可选的 CI 集成 步骤，在代码合并前自动阻断不合规的配置。

适用边界与注意事项

需要注意的是，KubeLinter 是一款静态分析工具，它能发现清单层面的就绪性（Readiness）和安全性问题，但无法替代运行时的深度防御或集群网络策略的动态验证。此外，若选择从源码构建，需确保本地已正确安装 Go 工具链。对于高度定制化的 Helm Chart，部分动态生成的配置可能需要结合 kubectl 渲染后再进行扫描，以保证策略引擎能够完整解析最终的 YAML 结构。