1. 课程导论：云原生配置管理面临的挑战、SOPS与OPA在安全准入中的角色、课程目标与学习路径

1.1 云原生配置管理的安全挑战

在云原生架构中，配置管理已经从静态文件演变为动态、分布式的声明式体系。Kubernetes、Helm、Kustomize 等工具使得基础设施即代码（IaC）成为常态，但这也带来了前所未有的安全风险。配置文件中往往包含数据库密码、、TLS 证书等敏感数据，一旦泄露，可能导致整个集群被攻陷。

当前企业普遍面临的配置管理安全挑战可归纳为以下五个维度：

1.2 SOPS 与 OPA 在安全准入中的角色

要解决上述挑战，需要一套覆盖“密钥保护”与“策略审计”两个核心环节的准入机制。SOPS（Secrets OPerationS） 和 OPA（Open Policy Agent） 是目前云原生生态中分别解决这两个问题的标杆工具。

• SOPS：专注于密钥的加密存储与自动解密。它支持 AWS KMS、GCP KMS、Azure Key Vault、age、PGP 等多种加密后端，允许将加密后的密钥文件安全地纳入 Git 仓库，并在部署时自动解密。
• OPA：专注于策略的声明式定义与强制执行。通过 Rego 语言编写策略，OPA 可以在 Kubernetes 准入控制、CI/CD 流水线、API 网关等多个环节拦截不合规的配置变更。

两者的角色互补：SOPS 确保密钥在静态存储和传输过程中不可读，OPA 确保密钥的使用方式和整体配置符合安全基线。二者结合，构成了“加密 + 策略”的双重安全准入防线。

1.3 课程目标

本课程旨在帮助学员建立从“密钥保护”到“策略审计”的完整云原生配置管理准入体系。完成本课程后，学员将能够：

1. 掌握 SOPS 密钥轮换机制：理解 SOPS 的加密模型，能够设计并实施自动化的密钥轮换策略，确保密钥生命周期安全。
2. 精通 OPA 策略编写与审计：使用 Rego 语言编写细粒度的准入策略，并将其集成到 Kubernetes 和 CI/CD 流水线中。
3. 构建准入评审流程：将 SOPS 和 OPA 整合为统一的配置变更准入评审管道，实现“加密 + 策略”的双重校验。
4. 应对真实场景：通过案例演练，解决多集群密钥同步、策略冲突检测、审计日志追溯等实际难题。

1.4 学习路径

课程共分为 30 章，按“基础 → 进阶 → 实战”三阶段递进。下表展示了核心模块与对应章节的映射关系：