1. 课程导论：SBOM 定义与价值、云原生配置管理面临的挑战、准入策略评审的核心目标

1.1 SBOM 定义与核心价值

软件物料清单（Software Bill of Materials，SBOM） 是一份正式、机器可读的清单，详细列出了构建某个软件制品所包含的所有组件、库、依赖项及其版本信息。在云原生环境中，SBOM 是建立软件供应链透明度的基础构件。

1.2 云原生配置管理面临的挑战

Kubernetes 及云原生生态的配置管理已从“静态 YAML 管理”演进为“动态、多源、策略驱动的配置治理”。然而，这一演进带来了以下核心挑战：

1. 配置爆炸与碎片化：微服务数量激增，ConfigMap、Secret、Deployment、Helm Chart、Kustomize Overlay 等配置对象分散在多个 Git 仓库和 OCI 仓库中，缺乏统一的物料视图。
2. 依赖关系不透明：基础镜像、Sidecar 代理、Operator、CRD 之间的依赖关系缺乏显式声明，导致“隐式供应链风险”难以被准入策略捕获。
3. 权限边界模糊：RBAC 规则、Pod Security Admission、OPA/Gatekeeper 策略之间的权限边界交叉，容易产生“权限逃逸”或“策略盲区”。
4. 拉取日志缺失：准入控制器在评审时，往往只检查最终 YAML 的静态合规性，而忽略了“谁、在何时、从哪个仓库、拉取了哪个版本的配置或镜像”这一关键审计链路。

1.3 准入策略评审的核心目标

在引入 SBOM 作为支撑数据后，云原生配置管理的准入策略评审需要达成以下四个核心目标：

• 目标一：物料可见性（Visibility） —— 在准入评审时，实时获取待部署工作负载的完整 SBOM，包括基础镜像层、应用层、系统库层的所有组件。
• 目标二：策略可执行性（Enforceability） —— 将 SBOM 中的组件版本、许可证、已知漏洞（CVE）映射为可执行的 OPA/Gatekeeper 或 Kyverno 策略规则。
• 目标三：权限边界可审计（Auditability） —— 记录准入控制器在拉取 SBOM 和配置元数据时的身份、时间、目标仓库、拉取结果，形成不可抵赖的审计日志。
• 目标四：供应链风险阻断（Blocking） —— 当 SBOM 检测到禁止使用的许可证、高危 CVE 或未签名的组件时，准入策略应直接拒绝部署，并返回清晰的阻断原因。

1.4 权限边界与拉取日志的关联

准入策略评审的“权限边界”不仅指 Kubernetes RBAC 中的 ServiceAccount 权限，更指准入控制器在拉取 SBOM 和配置元数据时，对 OCI 仓库、Git 仓库、对象存储等外部系统的访问权限边界。这一边界必须遵循最小权限原则，且每一次拉取行为都必须被记录为结构化的审计日志。