技能介绍

要解决的问题

Kubernetes 集群里最常见也最隐蔽的故障来源之一，是资源的错误配置：镜像以 root 身份运行、securityContext 缺失、请求与限制完全没设、ServiceAccount 权限过大。这些问题在开发环境往往不暴露，一旦进入生产流量或安全审计阶段，就变成了排查成本极高的线上事故。人工逐个检查 YAML 既不现实，也容易被绕过。

Polaris 解决的是：在配置进入集群之前或已经部署之后，用一套统一的策略规则自动扫描，把「违反最佳实践」的配置揪出来，并给出可执行的修复建议。

技能如何工作

Polaris Kubernetes 最佳实践验证器 基于开源项目 Fairwinds Polaris，提供三种运行形态：

CLI 模式：在 CI/CD 流水线中对提交的清单进行离线校验，不合规则阻断合并。
Dashboard 模式：对集群内已部署的资源做全量审计，输出违反情况的可视化报告。
Validating Webhook 模式：在 API Server 准入阶段拦截创建或更新请求，在资源真正落地前阻止违规配置。

核心流程是：加载内置的 30+ 条策略（或自定义策略），解析目标 YAML/对象，逐条比对，输出违规列表与修复建议。策略以 JSON Schema 形式编写，团队可以根据自身安全基线扩展。

适用边界与注意点

Polaris 校验的是配置层面的合规性，不会运行你的业务逻辑，也不能代替真正的安全扫描（如镜像漏洞检测、运行时行为分析）。内置策略偏向通用最佳实践，对于强合规场景（如等保、SOC 2）仍需叠加自定义规则。Webhook 模式会增加 API Server 的延迟，需评估对集群吞吐的影响。自定义策略的维护成本也应由平台团队承担。