1. 课程导论与背景
1.1 镜像供应链安全挑战
在云原生环境中，容器镜像已成为应用交付的核心载体。然而，镜像从构建、存储、分发到部署的完整生命周期中，面临着日益严峻的安全威胁。攻击者不再仅仅针对运行时漏洞，而是将攻击面前移，通过污染镜像供应链来植入后门、窃取数据或实施横向移动。
核心安全挑战： 镜像供应链攻击具有“一次投毒，广泛传播”的放大效应，传统基于签名的扫描方式难以应对未知威胁与持续演变的攻击手法。
当前镜像供应链面临的主要安全挑战可归纳为以下五个维度：
| 挑战维度 | 典型风险 | 影响范围 |
|---|---|---|
| 基础镜像不可信 | 使用官方镜像但未验证签名；使用第三方镜像仓库中的恶意镜像 | 所有下游构建产物 |
| 构建过程被篡改 | Dockerfile 中引入恶意依赖；CI/CD 流水线被注入后门 | 单个镜像或整个流水线产出 |
| 镜像仓库安全薄弱 | 仓库凭证泄露；镜像标签被覆盖；未启用访问控制 | 仓库内所有镜像 |
| 运行时镜像漂移 | 部署的镜像与构建时不一致；镜像层被篡改 | 目标集群与业务服务 |
| 合规与审计缺失 | 无法追溯镜像来源；缺乏完整的签名链记录 | 监管合规与事件溯源 |
1.2 信任边界概念
信任边界（Trust Boundary）是安全架构中的核心概念，指数据或控制流从一个受信任区域跨越到另一个受信任或不受信任区域的边界。在镜像供应链中，信任边界定义了镜像内容、元数据以及操作行为的可信范围。
镜像供应链中的信任边界模型包含以下关键层次：
- 内容信任边界： 镜像层数据的完整性验证，确保每一层内容在传输和存储过程中未被篡改。
- 身份信任边界： 镜像发布者、签名者、部署者的身份认证与授权，确保操作行为可追溯。
- 策略信任边界： 基于预定义安全策略（如签名策略、漏洞阈值）的准入控制，决定镜像是否可被部署。
- 审计信任边界： 所有信任决策的日志记录与不可篡改的审计证据链。
关键认知： 信任边界不是静态的，它随着镜像在供应链中的流转而动态变化。平台门户需要为每个信任边界提供可视化的状态展示与策略管控能力。
1.3 平台门户与 RBAC 集成目标
本课程的核心目标是构建一个统一的镜像供应链信任边界平台门户，并通过细粒度的基于角色的访问控制（RBAC）集成，实现安全策略的集中管理、信任状态的实时可视以及操作权限的精确分配。
平台门户与 RBAC 集成的具体目标如下：
- 统一视图： 提供镜像供应链全生命周期的信任状态仪表盘，涵盖构建、签名、存储、部署、审计等环节。
- 策略中心化： 将签名策略、漏洞策略、准入策略等集中配置，并通过 RBAC 控制策略的创建、修改与生效范围。
- 权限精细化： 基于角色（如管理员、安全审计员、开发人员、运维人员）分配不同的操作权限，确保最小权限原则。
- 审计可追溯： 所有信任决策与权限变更均记录审计日志，支持合规审查与事件溯源。
- 集成可扩展： 支持与现有 CI/CD 工具链（如 Jenkins、GitLab CI）、镜像仓库（如 Harbor、Docker Registry）以及 Kubernetes 集群的无缝集成。
注意： RBAC 集成不仅仅是权限控制，更是信任边界策略落地的关键保障。错误的权限配置可能导致安全策略被绕过或误判，因此 RBAC 模型的设计必须与信任边界模型严格对齐。
1.4 课程核心价值
通过本课程的学习，您将掌握以下关键能力：
- 设计能力： 能够设计符合企业安全需求的镜像供应链信任边界模型与 RBAC 权限体系。
- 开发能力： 能够基于云原生技术栈（如 Sigstore、Harbor、Kyverno）构建平台门户后端与前端。
- 集成能力： 能够将平台门户与现有 CI/CD 工具链、镜像仓库、Kubernetes 集群进行深度集成。
- 运维能力： 能够配置、监控与审计平台门户的运行状态，确保信任边界策略持续生效。
适用人群： 云原生安全工程师、DevSecOps 工程师、平台架构师、安全运维人员以及对容器镜像安全感兴趣的开发者。