4. 信任边界模型：零信任架构在供应链中的应用
在镜像供应链中，传统的基于网络边界的信任模型（“内网可信、外网不可信”）已完全失效。镜像的构建、分发、部署环节涉及多个组织、工具链和基础设施，任何单一环节的攻陷都可能导致整个供应链的污染。本章引入零信任架构（Zero Trust Architecture, ZTA），阐述如何在供应链中重新定义信任边界，并给出具体的划分原则与最小权限策略。
4.1 零信任架构在供应链中的核心原则
零信任架构不信任任何位于网络内部或外部的实体，其核心原则在镜像供应链中映射如下：
| 零信任原则 | 供应链映射 | 实施要点 |
|---|---|---|
| 始终验证（Never Trust, Always Verify） | 每个镜像构建步骤、每次镜像拉取、每次部署前都必须进行完整性校验和身份验证 | 强制签名验证、摘要比对、来源证明 |
| 最小权限（Least Privilege） | 每个组件（CI/CD 节点、仓库、运行时）仅拥有完成其任务所需的最小权限 | 细粒度 RBAC、临时凭证、权限边界策略 |
| 假设失陷（Assume Breach） | 默认任何节点、任何凭证、任何镜像都可能已被攻陷 | 不可变基础设施、审计日志、异常检测 |
| 微分段（Micro-Segmentation） | 将供应链拆分为多个信任域，域间通信必须经过策略检查和加密 | 网络策略、服务网格 mTLS、API 网关 |
关键认知： 零信任在供应链中不是一种产品，而是一种设计范式。它要求将信任从“网络位置”转移到“身份 + 上下文 + 持续验证”的组合上。
4.2 信任边界划分原则
信任边界是零信任架构中的核心概念，它定义了哪些资源属于同一信任域，以及域间通信需要满足哪些条件。在镜像供应链中，信任边界的划分遵循以下原则：
- 按职责域划分： 将构建、存储、分发、部署、运行时划分为独立的信任域。每个域拥有独立的身份基座和策略引擎。
- 按数据敏感度划分： 基础镜像、业务镜像、机密配置（如密钥、证书）应处于不同信任边界内，访问高敏感数据需要额外的授权。
- 按生命周期阶段划分： 开发阶段、测试阶段、预发布阶段、生产阶段的镜像仓库和部署环境必须隔离，禁止跨阶段直接访问。
- 按组织边界划分： 不同团队、不同供应商、不同第三方组件的镜像源应视为不同的信任域，域间通信必须经过策略网关。
实践建议： 在划分信任边界时，建议从“最坏情况”出发——假设相邻域已被攻陷，当前域是否仍能保证自身安全？如果答案是否定的，则说明边界划分不够细。
4.3 最小权限策略
最小权限策略是信任边界模型落地的关键。在镜像供应链中，最小权限策略需要覆盖以下四个维度：
4.3.1 身份与访问管理（IAM）
- 构建节点： 仅允许从授权的 CI/CD 系统推送镜像到指定仓库路径，禁止跨命名空间推送。
- 仓库访问： 拉取镜像使用只读令牌，推送镜像使用短期签名凭证，令牌有效期不超过 1 小时。
- 部署节点： 仅允许从指定的分发域拉取镜像，禁止直接连接构建域或存储域。
4.3.2 网络策略
- 使用 Kubernetes NetworkPolicy 或服务网格（如 Istio）实现微分段，默认拒绝所有跨信任域的流量。
- 仅开放必要的端口和协议（如 HTTPS 443、gRPC 443），禁止 ICMP、SSH 等管理协议跨域。
4.3.3 数据访问策略
- 镜像层数据：构建域可读写，存储域可读写，分发域只读，运行时域只读。
- 签名和元数据：仅构建域和存储域可写，分发域和运行时域只读。
- 机密数据（如密钥、证书）：仅运行时域中的特定 Pod 可通过 Sidecar 或 Secret Store 访问，其他域禁止直接读取。
4.3.4 操作权限策略
| 操作类型 | 允许的角色 | 策略示例 |
|---|---|---|
| 镜像构建 | 构建管理员、CI/CD 服务账户 | 仅允许在构建域内执行 docker build，输出必须签名 |
| 镜像推送 | 构建管理员 | 仅允许推送到指定仓库路径，且必须携带有效签名 |
| 镜像拉取 | 部署管理员、运行时服务账户 | 仅允许从分发域拉取，且必须验证签名和摘要 |
| 镜像删除 | 存储管理员（需审批） | 禁止自动删除，所有删除操作必须记录审计日志 |
| 策略修改 | 安全管理员（需 MFA） | 所有策略变更必须经过变更管理流程 |
常见陷阱： 最小权限策略实施初期容易过度放宽（“先跑通再说”），导致权限扩散。建议采用“默认拒绝，按需开放”的策略，并使用策略即代码（Policy as Code）工具（如 OPA、Kyverno）进行自动化审计和强制。
4.4 信任边界与最小权限的协同
信任边界划分和最小权限策略并非独立工作，而是相互强化的关系：
- 边界定义策略范围： 每个信任域内部可以实施相对宽松的策略（域内信任），但域间策略必须严格遵循最小权限。
- 策略强化边界： 最小权限策略的执行点（如策略引擎、API 网关）本身就是信任边界的物理或逻辑体现。
- 持续验证驱动边界调整： 当策略执行过程中发现异常访问模式时，应触发信任边界的重新评估和调整。
架构总结： 在镜像供应链中，信任边界模型通过“划分 + 策略”的双重机制，将零信任从理念落地为可操作的架构。划分决定了“谁在域内”，策略决定了“域间能做什么”。两者结合，才能构建出真正抗污染的供应链通信机制。