K8s策略从拦截转向引导
推荐指数 49.0 NO. 026 · 2026.10.02
发布2026/10/01
为什么值得看
CNCF文章指出Kubernetes策略工具（Gatekeeper、Kyverno）的命名和设计哲学过度强调"阻止"，导致平台团队与开发者对立。作者主张将policy重新定位为"guardrails"——在边界内给予自由度，而非单纯deny。
编辑判断
国内大厂的平台工程团队普遍面临同样困境：SRE把策略做得越严，业务侧绕过K8s直接走裸金属或云厂商原生服务的动力越强。这篇文章的解法不是技术层面的——它建议把policy从"合规检查"重新定义为"安全默认值+自助修复"，比如自动给没配资源限制的Pod注入limit而不是直接拦截。
如果你团队还在用"申请-审批"模式管理集群权限，可以参考Spotify的Backstage实践：把策略违规转化为待办任务而非阻断错误，开发者完成修复的意愿会高很多。平台团队的价值不是当门卫，而是让合规路径成为阻力最小的路径。