4. 证据留存总则：定义证据链的完整性要求

在版本漂移校准过程中，证据留存是确保排障结论可追溯、可复现、可审计的核心支柱。没有完整证据链的排障报告，等同于“无源之水、无本之木”。本章定义证据链的四大完整性要素，并引入司法与合规领域的 Chain of Custody（监管链） 概念，将其工程化落地到云原生场景。

4.1 证据链的四大完整性要素

一个可被信任的证据链，必须同时满足以下四个维度的要求。缺失任意一项，证据的效力都将被质疑。

4.2 引入 Chain of Custody（监管链）

Chain of Custody 源自法医学与合规审计，指从证据被采集到最终呈堂或归档的整个过程中，对证据的持有、转移、分析、存储每一步都进行严格记录，确保证据未被篡改、污染或丢失。在云原生版本漂移校准中，我们将这一概念工程化为 证据流转的不可抵赖性模型。

4.2.1 监管链的核心原则

• 连续性： 证据从采集到销毁的每个环节都必须有记录，不允许出现“断链”。
• 完整性： 证据本身及其元数据（哈希值、签名）必须被保护，防止静默损坏。
• 可审计性： 任何对证据的访问、复制、移动操作都必须留下审计日志。
• 最小权限： 只有授权人员或系统才能接触原始证据，避免人为污染。

4.2.2 云原生场景下的监管链模型

下图展示了从“版本偏差发现”到“证据归档”的完整监管链流转路径。每个环节都对应一个“证据包”的生成与签名。

4.3 证据链完整性的工程落地

将监管链概念落地到实际运维工具链中，需要建立以下三个关键机制：

4.3.1 证据包（Evidence Package）规范

每次采集或转移证据时，必须生成一个标准化的证据包。以下是一个 JSON 格式的证据包示例：

{
  "evidence_id": "evt-20250321-001",
  "chain_id": "chain-version-drift-2025q1",
  "previous_evidence_hash": "sha256:abc123...",
  "data": {
    "type": "kubernetes_resource_snapshot",
    "resource": "ConfigMap/logging-config",
    "namespace": "loki-system",
    "before": { "data": { "loki.yaml": "..." } },
    "after": { "data": { "loki.yaml": "..." } }
  },
  "metadata": {
    "timestamp": "2025-03-21T14:30:00.123Z",
    "operator": "system:serviceaccount:ci:argocd",
    "source": "kubectl-diff-hook",
    "cluster_id": "prod-us-east-1"
  },
  "signature": {
    "algorithm": "SHA256-RSA",
    "value": "base64...",
    "cert_thumbprint": "sha1:..."
  }
}

4.3.2 证据存储策略

4.3.3 证据链的完整性校验

在每次排障结束后，必须执行以下校验步骤，确保证据链未被破坏：

1. 哈希链校验： 从第一个证据包开始，逐个计算当前包的 data_hash，并与下一个包的 previous_evidence_hash 比对，确保链条连续。
2. 时间戳单调性校验： 检查所有证据包的时间戳是否严格递增，不允许出现时间回退或跳跃超过 5 分钟（NTP 同步误差容忍）。
3. 签名有效性校验： 使用预置的公钥证书验证每个证据包的签名，确保证据未被中间人篡改。
4. 操作人权限回溯： 将证据包中的 operator 字段与 IAM 系统或 AD 域控日志交叉比对，确认操作人身份真实有效。

4.4 证据链的审计与合规映射

将证据链的完整性要求映射到常见的合规框架（如 SOC2、ISO 27001、PCI DSS），可以快速向审计方证明排障过程的可靠性：