用 OpenClaw 智能体网关接管 K8s 日常运维：从只读巡检到低风险变更

name: health_check
description: "巡检指定命名空间的健康状态"
permission: READ_ONLY
parameters:
  - namespace: string
  - time_range: string (default: 1h)
prompt: |
  你是一个SRE助手。请查询namespace={namespace}在过去{time_range}内的以下信息：
  1. 非Running状态的Pod及其原因
  2. 重启次数>3的Pod
  3. CPU/内存使用率超过80%的Pod
  4. 最近的Warning级别Event

  用表格形式输出结果，并标注需要关注的高风险项。

【诊断报告】Pod: recommend-engine-7d8f-xyz

【现象】
- 状态: CrashLoopBackOff (已重启8次)
- 最后退出码: 137 (OOMKilled)

【数据摘要】
- 当前memory limit: 512Mi
- 过去7天内存峰值: 687Mi (超出limit 34%)
- 相关Event: "Container was killed due to memory limit"

【根因判断】
✅ 内存限制不足 (置信度: 92%)
❌ 内存泄漏 (置信度: 18% - 无持续增长模式)

【建议操作】
kubectl patch deployment recommend-engine -p '{"spec":{"template":{"spec":{"containers":[{"name":"app","resources":{"limits":{"memory":"1024Mi"}}}]}}}}'
⚠️ 风险等级: 低 (滚动更新，业务无中断)

是否执行？

# Open Policy Agent 策略示例
package k8s.agent

# 黑名单操作：永远拒绝
deny[msg] {
    input.operation == "DELETE"
    msg = "AI不允许执行DELETE操作"
}

deny[msg] {
    input.resource == "networkpolicy"
    msg = "NetworkPolicy变更需人工操作"
}

deny[msg] {
    input.resource == "persistentvolumeclaim"
    msg = "PVC删除操作需人工操作"
}

# 配额变更需要验证范围
deny[msg] {
    input.resource == "deployment"
    input.field == "resources.limits.memory"
    new_value = input.new_value
    old_value = input.old_value
    new_value > old_value * 2
    msg = sprintf("内存调整幅度过大，需人工审批。当前请求将limit从%v调整至%v", [old_value, new_value])
}

# 副本数变更需要验证上限
deny[msg] {
    input.resource == "deployment"
    input.field == "replicas"
    new_value = input.new_value
    new_value > 5
    msg = sprintf("副本数超过上限(5)，当前请求: %v", [new_value])
}

# 速率限制：同一资源每小时最多操作1次
deny[msg] {
    count(same_resource_ops_in_last_hour) >= 1
    msg = "同一资源1小时内只能操作1次，请稍后再试"
}

# 允许通过的条件
allow {
    input.operation == "PATCH"
    input.resource in {"deployment", "statefulset"}
    input.field in {"resources.limits.memory", "resources.requests.cpu", "replicas"}
    not deny[_]
}

【诊断结果】
根因: livenessProbe.initialDelaySeconds=30s，应用实际启动需45s
建议: 将initialDelaySeconds调整为60s
修复命令: kubectl patch deployment recommend-engine --type='strategic' \
  -p='{"spec":{"template":{"spec":{"containers":[{"name":"app","livenessProbe":{"initialDelaySeconds":60}}]}}}}'
风险等级: 低（滚动更新，业务无中断）
是否执行？