1. 课程导论：镜像供应链安全背景、信任边界概念、控制平面定义、Harbor在供应链中的角色
1.1 镜像供应链安全背景
云原生时代，应用交付的核心载体从二进制包、虚拟机镜像转变为 OCI 容器镜像。镜像的构建、分发、部署链条大幅拉长，涉及基础镜像、第三方依赖、CI/CD 流水线、镜像仓库、运行时环境等多个环节。每个环节都可能成为攻击面，传统“边界防护”模型在镜像供应链中已失效。
关键安全威胁统计：
- 超过 60% 的企业在生产环境中使用过含已知高危漏洞的基础镜像。
- 供应链攻击（如依赖混淆、镜像投毒、中间人劫持）年增长率超过 300%。
- 镜像仓库配置错误（匿名访问、弱认证、未启用签名）是 Top 5 云原生安全风险之一。
镜像供应链安全的核心挑战在于：如何从镜像的创建到运行建立端到端的可验证信任链，而不仅仅是依赖仓库层面的访问控制。
1.2 信任边界概念
信任边界（Trust Boundary）是安全架构中用于划分可信区域与不可信区域的逻辑或物理边界。在镜像供应链中，信任边界不再局限于网络防火墙，而是围绕镜像内容和元数据构建的内容信任边界。
| 信任边界类型 | 传统模型 | 镜像供应链模型 |
|---|---|---|
| 边界主体 | IP、端口、网络段 | 镜像摘要（Digest）、签名、SBOM |
| 信任传递 | VPN / 专线 | 签名链 + 策略引擎 |
| 验证时机 | 连接建立时 | 构建时、推送时、拉取时、部署时 |
| 失效影响 | 网络断开 | 镜像被拒绝部署或自动隔离 |
核心原则：信任边界应基于“零信任”理念——默认不信任任何镜像，除非其来源、内容、签名均通过策略验证。
1.3 控制平面定义
在镜像供应链语境下，控制平面（Control Plane） 是指一组策略定义、决策执行、状态观测的集中化组件，负责管理镜像从构建到运行的信任生命周期。它与数据平面（镜像存储、传输、运行时）分离，实现策略与执行的解耦。
控制平面的三大核心职能：
- 策略定义：声明式配置签名要求、漏洞阈值、来源白名单、部署约束。
- 决策执行：在推送、拉取、部署等关键节点拦截或放行镜像。
- 状态观测：实时监控镜像合规状态、供应链拓扑、异常事件。
| 维度 | 控制平面 | 数据平面 |
|---|---|---|
| 职责 | 策略决策、签名验证、审计 | 镜像存储、传输、缓存 |
| 延迟要求 | 毫秒级决策（同步） | 高吞吐、低延迟（异步） |
| 扩展方式 | 水平扩展策略引擎 | 分布式存储 + CDN |
| 典型组件 | Harbor 策略引擎、Notary、OPA | Harbor Registry、Redis 缓存 |
1.4 Harbor 在供应链中的角色
Harbor 不仅是镜像仓库，更是镜像供应链信任控制平面的核心载体。它原生集成了镜像签名（Notary）、漏洞扫描（Trivy/Clair）、策略引擎（Robot Account + Webhook）、复制与同步、审计日志等能力，天然适合作为信任边界的策略执行点。
1.5 课程核心目标
通过本课程，你将掌握如何将 Harbor 部署为镜像供应链信任边界控制平面，实现从镜像构建到运行的全链路信任管控。课程涵盖以下关键模块：
- Harbor 企业级部署：高可用、多租户、TLS 加固
- 镜像签名与验证：基于 Notary 和 Cosign 的信任链
- 漏洞扫描策略：Trivy 集成、CVE 阻断、定时扫描
- 策略引擎集成：Webhook + OPA 实现部署前准入
- 供应链可观测性：审计日志、SBOM 管理、依赖图谱
- DevOps 流水线集成：Jenkins/GitLab CI 与 Harbor 策略联动
前置要求：建议学员具备 Kubernetes 基础操作能力、Docker 镜像构建经验、以及基本的 YAML 编排能力。本课程不涉及基础容器原理教学。