保护商店的库存服务是一门面向已完成 Kubernetes 基础学习者的实践项目。让真实的顾客商品目录和训练购物篮报价继续通过商店 API 工作，同时阻止直接读取库存和不必要的 API 出站连接。用完整应用的实际结果判断网络边界。
两个 Guided Labs 分别教授库存入站、真实 DNS 与库存依赖、正向对照以及策略权限的并集。一个独立 Challenge 将命名空间、角色值、商品和库存端口迁移到手工用品商店。每个单元都有独立的准备环境，不依赖上一台 VM 的文件或进程。
你将学到什么
完成本课程后，你将能够：
- 追踪真实的顾客 → API → 库存请求链路，并识别绕过 API 的内部直连；
- 组合命名空间与 Pod 角色选择器，限制库存入站，同时保留应用运行；
- 从准备好的身份发起真实请求，区分 DNS 故障和 TCP 连接的成功或阻断；
- 仅放行 API 必需的 DNS 与库存路径，包括 UDP 和 TCP DNS；
- 检查多个 NetworkPolicy 的权限并集，退役仍提供多余权限的旧受管策略；
- 交付可复用策略清单，保留完整商品目录、正确的训练报价与独立服务。
本课程适合谁
本课程适合希望将网络基础用于完整应用任务的 Kubernetes 初学者。开始前，建议先完成 Kubernetes in Practice 中的基础网络与 NetworkPolicy 内容。
前置知识： 基本终端路径与 Tab 切换、简单 YAML，以及命名空间、Pod、Deployment、Service 和标签。Guided 会解释策略字段、DNS 传输协议和端口、诊断工具以及所用的一个终端变量。
学习环境： 已准备使用 Calico 的真实单节点 Kubernetes 集群，以及顾客应用、API、库存服务和独立配送服务。使用 Workspace、Shop 和 Reference 标签页配置策略、浏览原应用，并测试真实的允许与拒绝连接。网站、标签与命令输出为英文，全部业务数据为合成数据。
常见问题
需要 Kubernetes 经验吗？
需要。你应能识别基础集群对象并阅读简单 YAML。本项目把这些基础用于应用边界，并在需要时解释新增的策略与 DNS 判断。
需要开发应用或配置网络插件吗？
不需要。真实集群、插件和应用均已准备好。你只修改明确范围内的 NetworkPolicy，测试实际服务。训练购物篮报价不会预留库存、创建订单或收取款项。
Challenge 如何延伸 Guided Labs？
手工用品商店改变了命名空间、角色、商品和库存端口。按它的真实范围应用相同的入站、DNS、出站与策略并集方法，保留允许与拒绝两类路径，而非照抄旧值。
这能证明生产安全或持续可用吗？
不能。这是准备好的单节点集群上的有限 TCP/UDP 功能检查。NetworkPolicy 控制选中 Pod 的网络连接，不提供顾客身份认证，也不证明能抵御节点或管理员访问，或保证生产环境持续可用。
