1. 课程导论：Sigstore 项目背景、镜像供应链安全挑战、容量水位巡检与故障定位的总体目标

1.1 镜像供应链安全现状与挑战

云原生时代，容器镜像已成为软件交付的核心载体。然而，镜像供应链正面临日益严峻的安全威胁：从代码提交、CI/CD 构建、镜像仓库存储到运行时部署，每个环节都可能被注入恶意软件、篡改元数据或利用漏洞。2023 年 CNCF 调查报告显示，超过 60% 的企业在生产环境中遭遇过与镜像相关的安全事件，其中供应链投毒和镜像篡改占比最高。

1.2 Sigstore 项目背景与核心能力

Sigstore 是由 Google、Red Hat、Purdue 大学等联合发起的开源项目，旨在为软件供应链提供无门槛、透明、可审计的签名与验证能力。其核心组件包括：

• Cosign：容器镜像签名与验证工具，支持 OCI 制品、Blob 文件等。
• Fulcio：基于 OIDC 的短期证书颁发机构，免去长期密钥管理。
• Rekor：不可变透明日志，记录所有签名元数据，支持审计与溯源。
• Policy Controller：Kubernetes 准入控制器，基于签名策略自动拦截未签名镜像。

1.3 容量水位巡检：为什么需要关注 Sigstore 基础设施的容量

Sigstore 组件（尤其是 Rekor 透明日志和 Fulcio CA）在生产环境中承担着高并发签名验证的职责。当镜像发布频率激增（如大版本发布、CI 批量构建）时，以下容量瓶颈可能暴露：

• Rekor 日志写入吞吐：透明日志的 Append 操作受限于存储后端 IOPS 和一致性协议。
• Fulcio 证书签发速率：OIDC 令牌验证与短期证书生成存在 CPU/内存瓶颈。
• Cosign 验证延迟：大规模集群中策略查询 Rekor 的延迟可能影响 Pod 启动速度。
• 存储水位：Rekor 日志的持久化存储容量与清理策略。

1.4 故障定位：从容量异常到根因分析

当容量水位超过阈值时，故障定位需要快速区分是 Sigstore 组件自身瓶颈还是上游依赖（如 OIDC 提供商、存储后端）导致。本课程将围绕以下故障场景展开：

1. Rekor 写入积压：表现为签名验证超时，需排查存储 IO、网络带宽、日志清理策略。
2. Fulcio 证书签发失败：OIDC 令牌过期、CA 密钥轮换异常、证书模板配置错误。
3. Cosign 验证链断裂：Rekor 日志查询失败、证书链不完整、策略与签名不匹配。
4. Policy Controller 误拦截：策略规则冲突、缓存失效、准入 Webhook 超时。

1.5 课程总体目标

通过本课程，学员将掌握以下核心能力：

• 构建 Sigstore 容量水位监控体系：基于 Prometheus + Grafana 实现关键指标的可观测性。
• 制定巡检策略与告警规则：针对 Rekor、Fulcio、Cosign、Policy Controller 分别设计水位阈值。
• 故障定位方法论：从告警触发到根因确认的标准化排查流程，结合日志、指标、链路追踪。
• 自动化修复与容量规划：通过 Operator 或自定义控制器实现弹性扩缩容与存储清理。