4. Kubernetes 观测基础：Metrics、Logs、Traces 三大支柱，以及它们在供应链场景中的角色

在深入镜像供应链信任边界之前，必须建立统一的观测语言。Kubernetes 社区公认的“三大支柱”——Metrics（指标）、Logs（日志）、Traces（链路）——构成了可观测性的技术底座。在供应链场景中，这三者并非孤立存在，而是分别对应“是否异常”、“发生了什么”、“哪里出了问题”三个核心追问。

4.1 三大支柱的定义与数据特征

4.2 供应链场景中的 Metrics：信任边界的“仪表盘”

Metrics 是供应链健康度的第一道防线。在 Kubernetes 集群中，与镜像供应链信任相关的指标主要分布在以下层级：

• kubelet 层：镜像拉取失败次数（按原因标签）、镜像拉取延迟分位数。
• 准入控制层：策略评估总次数、通过/拒绝/错误计数、策略执行耗时。
• 签名验证层：签名验证成功/失败次数、证书过期预警、信任锚点变更计数。
• 镜像仓库层：镜像摘要校验失败率、镜像层完整性检查结果。

4.3 供应链场景中的 Logs：信任边界的“黑匣子”

当 Metrics 触发告警后，Logs 是深入排查的第一入口。在镜像供应链信任边界中，关键日志事件包括：

• 镜像拉取事件：containerd 或 CRI-O 记录的镜像层下载日志，包含层 digest、下载来源、TLS 握手状态。
• 签名验证事件：Cosign / Notation 验证器输出的验证结果日志，包含签名者身份、证书链、验证时间。
• 准入策略评估事件：Kyverno / OPA Gatekeeper 记录的策略匹配日志，包含触发策略名称、资源对象、决策结果。
• 审计日志：Kubernetes API Server 的审计日志，记录谁在何时创建了使用特定镜像的 Pod。

{
  "image_ref": "registry.example.com/app:v1.2.3",
  "image_digest": "sha256:a1b2c3d4...",
  "signature_identity": "dev-team@example.com",
  "policy_name": "require-signature",
  "verification_result": "pass",
  "cluster_node": "node-01"
}

4.4 供应链场景中的 Traces：信任边界的“故障定位仪”

Traces 在供应链场景中是最容易被忽视但价值最高的支柱。一个完整的镜像部署请求，从用户提交 YAML 到 Pod 真正运行，中间经过的信任检查环节可能多达 5-8 个。Traces 能够将每个环节的耗时、状态、错误串联起来。

典型的供应链信任链路包含以下 Span：

1. API Server 准入 Webhook 调用（客户端 → 准入控制器）
2. 策略引擎评估（Kyverno / OPA 内部规则匹配）
3. 远程签名验证服务调用（集群内 → 外部验证端点）
4. 镜像仓库层校验（kubelet → 镜像仓库，验证层 digest）
5. kubelet 镜像拉取与解包（本地存储写入）

4.5 三大支柱在供应链信任边界中的协同模型

三大支柱在供应链场景中不是平行关系，而是分层递进的协同模型：