1. 课程导论：镜像安全水位巡检与 Cosign 签名验证在云原生安全体系中的定位
在云原生架构中，容器镜像已成为应用交付的核心载体。镜像从构建、存储、分发到运行的全生命周期，面临着供应链攻击、漏洞注入、配置漂移等多重风险。本课程聚焦于镜像安全水位巡检与Cosign 签名验证两大技术手段，并强调容量规划作为安全巡检前置条件的必要性。
1.1 镜像安全水位巡检的定位
镜像安全水位巡检是一种持续合规评估机制，它通过定期或事件驱动的方式，对镜像仓库中的存量镜像进行扫描与评估，判断其是否满足组织定义的安全基线。其核心定位包括：
- 风险暴露面管理：识别已知漏洞（CVE）、敏感信息泄露、非基础镜像、高危配置等。
- 合规基线验证：确保镜像符合 CIS Docker Benchmark、NIST SP 800-190 等标准。
- 变更审计与追溯：记录每次巡检结果，形成安全水位趋势，辅助事故溯源。
关键指标：镜像安全水位通常以“通过率”、“高危漏洞数”、“未签名镜像占比”等量化指标衡量，并设定红、黄、绿三级水位线。
1.2 Cosign 签名验证的定位
Cosign 是 Sigstore 项目下的容器镜像签名工具，它通过无密钥（Keyless）或密钥对方式对镜像进行数字签名，并在部署前验证签名的完整性与可信性。其定位如下：
| 维度 | 说明 |
|---|---|
| 供应链完整性 | 确保镜像从构建到部署未被篡改，防止中间人攻击或仓库投毒。 |
| 身份与授权绑定 | 签名绑定发布者身份（如 OIDC 身份），实现“谁签名、谁负责”的信任模型。 |
| 策略即代码 | 结合 Kyverno / OPA 等策略引擎，在准入控制阶段强制要求签名验证。 |
实践要点：Cosign 签名验证不是一次性动作，而是需要与 CI/CD 流水线集成，形成“构建时签名 → 仓库存储 → 部署时验证”的闭环。
1.3 在云原生安全体系中的整体定位
镜像安全水位巡检与 Cosign 签名验证共同构成了镜像安全左移与持续监控的核心能力。下图展示了它们在云原生安全体系中的位置：
1.4 容量规划为何是安全巡检的前提
镜像安全水位巡检并非无成本的“免费午餐”。大规模集群中，镜像仓库可能存储数万乃至数十万个镜像版本，每次全量扫描都会消耗大量计算、存储与网络资源。若缺乏容量规划，巡检可能引发以下问题：
- 扫描风暴：并发扫描导致仓库 API 限流、节点 CPU 飙高，影响正常业务。
- 存储膨胀：扫描结果、签名元数据、SBOM 等数据持续累积，超出预期存储容量。
- 时间窗口不足：全量扫描耗时过长，无法在规定的安全巡检窗口内完成。
- 成本失控：云上扫描 API 调用、数据传输、长期存储产生意外账单。
容量规划缺失的典型后果：某金融科技公司在未做容量规划的情况下，对 5000+ 镜像执行全量漏洞扫描，导致镜像仓库响应延迟从 200ms 飙升至 12s，同时触发云存储自动扩容，月度成本增加 40%。
因此，容量规划为安全巡检提供了可预测的资源基线，确保巡检动作在可控的成本与性能范围内持续执行。下表总结了容量规划与安全巡检的关联：
| 容量规划维度 | 对安全巡检的影响 | 规划要点 |
|---|---|---|
| 计算资源 | 扫描并发度、扫描耗时 | 根据镜像数量与大小，预留扫描节点 CPU/内存 |
| 存储资源 | 扫描结果、签名数据、SBOM 持久化 | 评估增量数据量，设置存储上限与生命周期策略 |
| 网络带宽 | 镜像拉取、签名验证、结果上报 | 避免扫描流量挤占业务带宽，规划独立网络路径 |
| 时间窗口 | 巡检频率与覆盖范围 | 根据业务低峰期设定扫描窗口，支持增量与全量混合策略 |
1.5 课程核心脉络
本课程将按照以下逻辑展开：
- 容量规划基础：镜像仓库规模评估、资源需求建模、扫描窗口设计。
- 镜像安全水位巡检：水位指标定义、巡检策略配置、结果可视化与告警。
- Cosign 签名验证：签名生成、仓库存储、策略集成、验证失败处理。
- 综合实战：在容量规划约束下，构建端到端的镜像安全水位巡检与签名验证流水线。