1. 课程导论：镜像供应链信任边界的概念、交付前准入策略的重要性、课程目标与受众
1.1 镜像供应链信任边界：从“拉取即用”到“验证后准入”
在云原生与 DevSecOps 实践中，容器镜像已成为软件交付的核心载体。然而，镜像从构建到部署所经历的供应链环节——基础镜像选择、依赖引入、构建过程、制品仓库存储、传输与部署——构成了一个复杂的信任网络。传统“拉取即用”的模式假设镜像仓库和镜像本身是可信的，但现实中的安全事件（如基础镜像投毒、依赖库篡改、构建环境后门）证明这一假设已不再成立。
信任边界是指组织在镜像供应链中划定的一条安全分界线：边界内的镜像经过验证与准入检查，被视为“可信”；边界外的镜像在通过所有准入策略之前，被视为“不可信”或“待验证”。交付前的准入策略正是这条信任边界的执行引擎。
核心观点：信任边界不是静态的，它随供应链风险态势、合规要求与组织安全策略动态调整。交付前准入策略清单化验收，是将信任边界从“概念”转化为“可执行、可度量、可审计”的工程实践。
1.2 交付前准入策略的重要性：为什么必须在“部署前”完成验证
镜像供应链安全事件的影响范围往往呈指数级扩散——一个被污染的镜像一旦进入生产集群，可能同时影响数百个微服务。交付前准入策略的核心价值在于将安全左移，在镜像进入运行环境之前完成所有安全检查，从而阻断风险传播。
| 维度 | 无准入策略（传统模式） | 有准入策略（信任边界模式） |
|---|---|---|
| 风险发现时机 | 运行时或事后审计 | 部署前（交付前） |
| 影响范围 | 已扩散至生产环境，回滚成本高 | 阻断在准入阶段，零生产影响 |
| 合规审计 | 依赖人工抽查，证据链不完整 | 自动化清单化验收，审计追溯完整 |
| 响应速度 | 被动响应，平均修复时间（MTTR）长 | 主动阻断，MTTR 趋近于零 |
| 团队协作 | 安全团队与开发团队事后扯皮 | DevSecOps 流程内嵌，职责清晰 |
关键数据：根据行业统计，在交付前发现并修复一个镜像安全问题的成本，仅为运行时修复成本的 1/15 至 1/30。准入策略清单化验收是实现这一成本优势的工程基础。
1.3 课程目标与受众
本课程旨在帮助学员建立从“镜像供应链信任边界”理论到“准入策略清单化验收”落地的完整知识体系，并掌握可操作的工程方法。
课程核心目标
- 理解信任边界模型：掌握镜像供应链中信任边界的定义、划分原则与动态调整机制。
- 掌握准入策略清单化方法：学会将安全策略转化为可执行、可度量的验收清单，覆盖签名验证、漏洞扫描、合规检查、SBOM 校验等关键维度。
- 实现自动化验收流水线：基于 DevSecOps 工具链（如 OPA/Kyverno、Trivy、Cosign、Notary）构建准入策略执行引擎。
- 建立审计与持续改进机制：通过清单化验收记录实现供应链安全审计，并基于数据驱动策略优化。
目标受众
| 角色 | 核心关注点 | 课程价值 |
|---|---|---|
| DevSecOps 工程师 | 自动化流水线、策略即代码 | 掌握准入策略的编码化与集成方法 |
| 安全架构师 | 信任边界设计、风险模型 | 获得供应链安全架构设计框架 |
| 平台工程团队 | 内部开发者平台（IDP）建设 | 将准入策略嵌入平台工程黄金路径 |
| 合规与审计人员 | 证据链、合规报告 | 理解清单化验收的审计价值 |
| 技术管理者 | 投入产出比、风险降低效果 | 获得决策依据与实施路线图 |
1.4 课程结构概览
本课程共分为 6 个模块，从理论到实践逐步深入：
- 信任边界与风险分析（第 1-5 章）：定义信任边界，分析镜像供应链典型风险场景。
- 准入策略清单设计（第 6-12 章）：讲解清单化方法，覆盖签名、漏洞、合规、SBOM 等维度。
- 工具链与自动化（第 13-20 章）：基于 OPA/Kyverno、Trivy、Cosign 等工具实现策略执行。
- 验收流水线集成（第 21-25 章）：将准入策略嵌入 CI/CD 与 GitOps 工作流。
- 审计与持续改进（第 26-28 章）：建立审计证据链与策略度量反馈闭环。
- 案例与实战（第 29-30 章）：端到端案例演练与常见问题排错。
前置要求：学员应具备基本的容器与 Kubernetes 使用经验，了解 CI/CD 流水线概念。无需深度安全背景，但具备 DevSecOps 基础认知将有助于快速理解。