4. 安全基线核验场景识别：常见违规类型、核验触发条件、核验流程

在云原生环境中，安全基线核验是保障集群与工作负载合规运行的核心手段。本章聚焦于通过 Argo CD 观测标签体系，精准识别安全基线核验场景中的常见违规类型、触发条件与标准化核验流程，帮助团队在 GitOps 交付链中建立自动化的安全防线。

4.1 常见违规类型

根据云原生安全基线的常见要求，违规类型可归纳为以下五大类，每类对应一组可观测标签的 key-value 组合，便于在 Argo CD 中实现自动化标记与告警。

4.2 核验触发条件

安全基线核验并非持续全量扫描，而是基于明确的触发条件执行，以平衡集群性能与安全时效性。以下为三种核心触发模式：

1. Git 提交触发（Push 事件）：当开发者向 Git 仓库推送包含 Kubernetes 清单的变更时，Argo CD 自动触发预同步阶段的基线核验。这是最常用的触发方式，适用于 CI/CD 流水线中的“左移”安全检测。
2. 定时轮询触发（Sync 周期）：Argo CD 默认每 3 分钟轮询一次 Git 仓库状态。若检测到清单与集群状态存在偏差，在同步前执行基线核验，确保运行中的工作负载始终符合基线要求。
3. 手动触发（Webhook 或 CLI）：通过 Argo CD API 或 argocd app sync 命令手动触发同步时，可附加 --verify-security 参数（需自定义钩子），强制执行一次完整的基线核验。

4.3 核验流程

安全基线核验流程采用“预检-执行-后标”三段式结构，与 Argo CD 的同步生命周期深度绑定。以下为标准化流程的 SVG 示意图：

4.4 核验流程中的标签注入规范

为了确保核验结果可观测、可追溯，每个阶段均需注入标准化的观测标签。以下为标签注入规范表：

4.5 核验流程与 Argo CD 同步生命周期的集成

为了更直观地展示核验流程在 Argo CD 同步周期中的位置，以下为集成架构图：

4.6 核验流程的自动化实现示例

以下为 Argo CD PreSync 钩子中调用 OPA 进行基线核验的 ConfigMap 示例，展示了如何将核验逻辑嵌入同步生命周期：

apiVersion: v1
kind: ConfigMap
metadata:
  name: security-baseline-hook
  annotations:
    argocd.argoproj.io/hook: PreSync
    argocd.argoproj.io/hook-delete-policy: HookSucceeded
data:
  baseline-check.sh: |
    #!/bin/bash
    # 读取待同步的清单文件
    MANIFEST_DIR="/tmp/argocd-manifests"
    
    # 执行 OPA 基线策略检查
    opa eval --data /policies/security-baseline.rego \
             --input $MANIFEST_DIR \
             "data.security.violations" > /tmp/violations.json
    
    # 解析违规数量
    VIOLATIONS=$(jq '.result | length' /tmp/violations.json)
    
    if [ "$VIOLATIONS" -gt 0 ]; then
      echo "安全基线核验失败，发现 $VIOLATIONS 项违规"
      # 注入违规标签（通过 Argo CD API）
      kubectl label application <APP_NAME> \
        security-scan/result=fail \
        security-scan/violations=$VIOLATIONS \
        --overwrite
      exit 1  # 触发阻断
    else
      echo "安全基线核验通过"
      kubectl label application <APP_NAME> \
        security-scan/result=pass \
        security-scan/violations=0 \
        --overwrite
      exit 0
    fi