1. 课程概述与目标：Envoy代理镜像供应链信任边界测试的背景、课程目标、适用人群
1.1 课程背景：为什么信任边界是云原生的核心风险
在云原生架构中，Envoy 代理作为服务网格的数据平面核心，承担着南北向与东西向流量的全部转发、认证、可观测性职责。然而，Envoy 镜像的供应链正面临日益严峻的信任挑战：
- 镜像来源不可控：从 Docker Hub、Quay.io 或第三方仓库拉取的 Envoy 镜像，其构建过程、基础层、依赖库的完整性难以验证。
- 软件物料清单（SBOM）缺失：多数生产环境未对 Envoy 镜像进行 SBOM 生成与漏洞关联分析，导致无法追溯已知 CVE。
- 签名与验证断层：即使使用 Notary、Cosign 等工具进行签名，从镜像仓库到运行时节点的信任传递链仍存在断裂点。
- 运行时行为偏离：镜像在构建时通过安全扫描，但运行时可能因配置注入、Sidecar 热加载、动态扩展而引入非预期行为。
核心观点：Envoy 代理镜像的信任边界不是静态的“构建时一次验证”，而是需要贯穿构建、分发、部署、运行四个阶段的持续验证闭环。
1.2 课程目标
本课程旨在帮助学员建立从 Envoy 镜像构建到运行时全链路的信任边界测试验证能力。完成本课程后，学员将能够：
| 目标编号 | 具体目标 | 对应能力 |
|---|---|---|
| G1 | 理解 Envoy 镜像供应链的信任模型与攻击面 | 威胁建模与风险识别 |
| G2 | 掌握镜像签名、验证与 SBOM 生成工具链 | 工具实操（Cosign、Notary、Grype） |
| G3 | 设计并实施镜像准入控制策略（OPA/Kyverno） | 策略即代码（Policy as Code） |
| G4 | 构建运行时信任边界监控与异常检测机制 | 运行时安全与可观测性 |
| G5 | 输出可复用的信任边界测试验证流程与自动化流水线 | DevSecOps 集成与持续验证 |
课程产出：一套完整的 Envoy 镜像供应链信任边界测试验证框架，包含自动化 CI/CD 流水线模板、策略库、监控仪表板及测试用例集。
1.3 适用人群
本课程面向以下四类专业人员，建议具备 Kubernetes 基础操作与 Envoy 基本概念：
- 云原生安全工程师：负责容器镜像安全、运行时防护与合规审计，需要建立端到端的信任验证体系。
- DevSecOps 工程师：负责 CI/CD 流水线安全集成，需要将镜像签名、扫描、策略执行嵌入自动化流程。
- 服务网格运维/平台工程师：负责 Envoy 代理的部署、配置与升级，需要确保 Sidecar 镜像的来源可信与行为可预期。
- 安全架构师/技术负责人：负责制定组织级容器供应链安全策略，需要评估信任边界测试方案的有效性与落地路径。
1.4 课程结构概览
本课程共分为 8 个模块，按信任边界验证的生命周期递进组织：
| 模块 | 主题 | 核心内容 |
|---|---|---|
| M1 | 信任边界基础与威胁建模 | Envoy 镜像供应链攻击面分析、信任链模型、威胁建模方法（STRIDE） |
| M2 | 镜像签名与验证 | Cosign 签名实践、Notary v2 集成、密钥管理与轮换 |
| M3 | SBOM 生成与漏洞管理 | Syft/Grype 生成 SBOM、漏洞关联分析、策略触发阻断 |
| M4 | 准入控制策略设计 | OPA/Kyverno 策略编写、镜像来源与签名验证准入 |
| M5 | 运行时信任边界监控 | Envoy 运行时行为基线、异常检测、Falco 集成 |
| M6 | CI/CD 流水线集成 | GitHub Actions/GitLab CI 集成签名、扫描、准入测试 |
| M7 | 测试验证自动化框架 | 信任边界测试用例设计、自动化验证脚本、结果报告 |
| M8 | 综合实战与案例复盘 | 端到端信任边界验证演练、常见问题与最佳实践 |
重要提示：本课程所有实验环境均基于 Envoy 1.28+、Kubernetes 1.27+、Cosign 2.0+ 及 OPA v0.55+。请确保实验环境版本匹配，避免因 API 差异导致验证失败。