2. 服务目录平台基础：定义、核心功能模块与IT运维定位

服务目录（Service Catalog）是云原生与IT运维体系中连接“业务需求”与“技术实现”的核心元数据仓库。它并非简单的服务列表，而是以标准化、可检索、可治理的方式，对组织内所有IT服务及其依赖关系进行建模与注册的权威数据源。在SBOM观测标签体系中，服务目录是标签注入与基线核验的起点。

服务目录是对组织提供的所有IT服务（包括微服务、API、中间件、基础设施组件等）进行统一描述、分类和管理的结构化清单。它记录了每个服务的名称、版本、负责人、接口契约、依赖关系、部署环境及运行基线等关键元数据。

  核心特征： 权威性（Single Source of Truth）、标准化（统一Schema）、可发现性（Discoverable）、可治理性（Governable）。

服务目录平台围绕服务的全生命周期，提供三大核心功能模块：注册、发现与治理。下表对比了各模块在SBOM观测标签体系中的关键作用：

功能模块	核心职责	SBOM标签注入点	基线核验关联
服务注册	服务上线时录入元数据，包括服务名、版本、依赖组件、接口定义、部署拓扑等。	注入`service.name`、`service.version`、`dependency.list`等基础标签。	注册信息与SBOM清单比对，校验组件版本是否合规。
服务发现	提供动态查询能力，支持按环境、标签、健康状态等维度检索服务实例。	注入`instance.id`、`endpoint`、`health.status`等运行时标签。	发现结果用于核验实例是否在基线范围内运行。
服务治理	定义并执行服务运行基线，包括版本策略、依赖白名单、安全合规规则、生命周期管理。	注入`baseline.version`、`compliance.rule`、`governance.status`等治理标签。	治理规则直接驱动基线核验的通过/阻断决策。

在云原生运维体系中，服务目录处于“配置管理数据库（CMDB）”与“可观测性平台”之间的枢纽位置。它向下对接基础设施与容器编排层，向上支撑变更管理、故障排查、容量规划与合规审计。

定位要点： 服务目录是“运行基线”的载体，SBOM观测标签是“基线状态”的投影。没有服务目录，基线核验将失去锚点。

下图展示了服务目录在IT运维体系中的核心定位及其与周边系统的关系：

服务目录中的每条记录，都可以映射为一组SBOM观测标签。这种映射是自动化基线核验的基础。以下列表展示了典型的映射规则：

服务标识映射： 服务目录中的 service_id + version → SBOM标签 swh:1:cnt:... + service.version
依赖关系映射： 服务目录中的 dependency_list → SBOM标签 dependsOn 关系边
运行基线映射： 服务目录中的 baseline_policy → SBOM标签 baseline.rule + compliance.status
部署环境映射： 服务目录中的 environment + cluster → SBOM标签 deployment.env + deployment.cluster

常见误区： 服务目录不是静态文档，必须与CI/CD流水线、容器镜像仓库实时同步。否则SBOM标签将基于过期数据生成，导致基线核验结果失真。

在云原生环境中，服务目录通常采用“中心化存储 + 边缘化缓存”的混合架构，以平衡一致性与性能。下图展示了其典型部署拓扑：

该架构确保服务注册的高可用写入，同时通过边缘缓存支撑可观测平台与SBOM生成器的高频读取，避免中心存储成为性能瓶颈。