📚 课程目录第1章课程导论

1. 课程导论：SBOM 概念、容器网络运维面临的挑战、声明式管理优势、课程目标与受众

SBOM（Software Bill of Materials，软件物料清单）是软件供应链安全的基础构件。它是一份形式化、机器可读的清单，详细列出了构建某个软件制品所需的所有底层组件、依赖关系、版本号、许可证信息以及补丁状态。

在容器化环境中，SBOM 的作用尤为关键：容器镜像本质上是多层文件系统的堆叠，每一层都可能引入开源库、系统工具或第三方二进制文件。没有 SBOM，运维团队无法快速回答“这个容器里到底运行了哪些组件？”、“某个高危 CVE 是否影响我的生产环境？”。

  关键认知： SBOM 不是一份静态文档，而是容器镜像的“成分标签”。在准入策略评审中，SBOM 是判断镜像是否合规、是否包含已知漏洞、是否违反许可证策略的唯一可信数据源。

传统网络运维模式在容器化、微服务化、多集群化趋势下暴露出严重短板。以下表格总结了当前容器网络运维的核心痛点：

挑战维度	具体表现	典型后果
镜像供应链不透明	开发团队从 Docker Hub、第三方仓库拉取基础镜像，内部缺乏组件清单审计	Log4j 等漏洞爆发时，无法快速定位受影响容器
网络策略手工配置	Kubernetes NetworkPolicy、服务网格规则依赖人工编写，变更频繁且易出错	配置漂移、策略冲突、安全组规则冗余
准入评审缺乏证据链	镜像扫描报告、策略审批记录、运行时审计日志分散在不同系统	合规审计时无法提供完整的“准入-运行-变更”证据闭环
发布节奏与安全审查矛盾	CI/CD 流水线追求快速交付，安全团队要求逐镜像、逐策略人工审核	发布阻塞、安全团队成为瓶颈、运维人员被迫绕过流程

行业现状： 根据 2024 年 CNCF 调查报告，超过 68% 的容器安全事故与镜像组件漏洞直接相关，而其中 43% 的事故本可以通过准入阶段的 SBOM 策略拦截。

声明式管理（Declarative Management）是解决上述挑战的关键范式转换。与“命令式”逐条下发指令不同，声明式管理要求运维人员定义“期望状态”，由系统自动完成状态调和与差异修复。

在容器网络运维与准入策略场景中，声明式管理带来以下优势：

可版本化与可审计： 所有策略（NetworkPolicy、准入规则、SBOM 校验标准）以 YAML/JSON 文件形式存储在 Git 仓库中，每次变更都有完整历史记录。
自动化合规校验： 在 CI/CD 流水线中，声明式策略可自动比对 SBOM 数据，拦截不符合安全基线的镜像进入生产环境。
消除配置漂移： 集群中的实际网络策略与 Git 仓库中的声明式配置持续同步，任何手动修改都会被自动回滚或告警。
证据链自动生成： 每次准入评审的结果、策略版本、SBOM 快照、审批人签名自动关联，形成不可篡改的发布证据链。

实践建议： 将 SBOM 校验策略、网络隔离策略、镜像签名验证策略统一声明在同一个 GitOps 仓库中，使用 OPA（Open Policy Agent）或 Kyverno 作为策略引擎，实现“策略即代码”。

本课程旨在帮助学员建立从 SBOM 生成、容器网络策略声明式管理到准入评审证据链发布的完整知识体系。课程结束后，学员将具备以下能力：

能力维度	具体目标
SBOM 生成与消费	掌握 Syft、Trivy、Grype 等工具生成容器镜像 SBOM，并能解析 SPDX/CycloneDX 格式
声明式策略编写	使用 OPA Rego 或 Kyverno 编写基于 SBOM 的准入策略（漏洞阈值、许可证黑名单、组件白名单）
网络运维自动化	通过 GitOps 工作流管理 Kubernetes NetworkPolicy、服务网格策略，实现网络隔离自动化
评审证据链构建	设计并实现“SBOM 快照 + 策略评估结果 + 审批签名”的不可篡改证据链，满足 SOC2/ISO 27001 审计要求

目标受众：

下图展示了本课程的核心知识模块及其关联关系：

本课程共分为 30 章，按以下逻辑递进：

学习建议： 建议学员在本地搭建 minikube 或 kind 集群，配合 Docker 环境同步实践。每章末尾的“动手实验”环节是掌握声明式管理的关键。