2. 核心概念：安全基线、变更管理与不可变基础设施
在构建全链路可追溯的自动化回滚体系之前，必须统一三个核心概念的定义与边界。安全基线定义了“合规状态”，变更管理定义了“状态迁移的规则”，不可变基础设施定义了“状态迁移的载体”。三者共同构成可追溯设计的逻辑基础。
2.1 安全基线（Security Baseline）
安全基线是云原生环境中一组经过验证的、最小权限且合规的配置集合，是判定“变更是否违规”的参照系。它通常涵盖以下维度：
| 维度 | 典型对象 | 基线示例 |
|---|---|---|
| 镜像安全 | 容器镜像、基础层 | 禁止 root 用户运行、无高危 CVE、签名校验通过 |
| 运行时配置 | Pod、Deployment | readOnlyRootFilesystem=true、privileged=false |
| 网络策略 | NetworkPolicy | 默认拒绝入站、仅允许特定命名空间通信 |
| 身份与访问 | RBAC、ServiceAccount | 禁止 cluster-admin 绑定、最小权限 Role |
| 数据保护 | Secret、ConfigMap | Secret 启用静态加密、ConfigMap 不存储敏感信息 |
关键原则：安全基线必须版本化、可审计、可自动校验。任何偏离基线的变更都应触发告警或阻断，并记录为一次“基线漂移事件”。
2.2 变更管理（Change Management）
变更管理在云原生语境下，不再依赖人工审批工单，而是通过 GitOps 工作流、策略即代码（Policy as Code）和自动化门禁实现端到端管控。其核心流程包含四个阶段：
- 提议（Propose）： 开发者通过 Pull Request 提交配置或代码变更，触发预检流水线。
- 验证（Validate）： 自动化工具（如 OPA、Kyverno）对变更内容执行安全基线合规检查。
- 审批（Approve）： 基于策略的自动审批或人工复核，生成不可篡改的审批记录。
- 执行（Execute）： 变更被应用到目标环境，同时生成包含变更人、时间、内容、基线比对结果的完整证据链。
可追溯设计要点：每个变更事件必须关联唯一的 Commit SHA、CI Pipeline ID 和审计日志条目，形成“变更→构建→部署→基线比对”的闭环链路。
2.3 不可变基础设施（Immutable Infrastructure）
不可变基础设施的核心思想是：任何运行时环境的修改都不应直接作用于正在运行的实例，而是通过替换整个实例来实现变更。这一模式天然支持自动化回滚——回滚即重新部署上一个已知良好的版本。
下表对比了可变基础设施与不可变基础设施在变更管理中的关键差异：
| 对比维度 | 可变基础设施 | 不可变基础设施 |
|---|---|---|
| 变更方式 | SSH 登录、热补丁、配置覆盖 | 重建实例、替换镜像、滚动更新 |
| 回滚策略 | 逆向操作、回退脚本 | 切换至上一版本镜像或 Artifact |
| 可追溯性 | 依赖操作日志，易丢失 | 镜像 Tag、部署版本号天然可追溯 |
| 安全基线一致性 | 运行时漂移风险高 | 实例启动即固化基线，无运行时漂移 |
| 自动化回滚复杂度 | 高（需编写逆向逻辑） | 低（Kubernetes Deployment 原生支持） |
常见误区：不可变基础设施不等于“不更新”。它强调的是通过版本替换而非原地修改来管理变更。在 Kubernetes 中，更新 Deployment 的镜像版本并触发滚动更新，就是不可变基础设施的典型实践。
2.4 三者的关系：可追溯设计的三角模型
安全基线、变更管理与不可变基础设施并非孤立概念，而是构成一个相互支撑的三角模型。下图展示了三者如何协同支撑自动化回滚与证据报告：
2.5 实践中的联动示例
以一个典型的 Kubernetes 集群安全基线变更场景为例，展示三个概念如何在实际流水线中联动：
# 1. 开发者修改安全基线策略（例如：禁止 privileged 容器）
# 提交至 Git 仓库，触发 CI Pipeline
# 2. CI 阶段：变更管理门禁
# - OPA 策略引擎校验新基线是否覆盖所有合规项
# - 生成基线比对报告：旧基线 v1.2 → 新基线 v1.3
# 3. CD 阶段：不可变基础设施部署
# - 构建新的集群基线配置 Artifact（版本化）
# - 通过 GitOps 工具（ArgoCD/Flux）应用到集群
# - 新 Pod 启动时自动注入最新基线配置
# 4. 回滚场景（基线违规或业务异常）
# - 自动检测到新基线导致 Pod 启动失败
# - 触发回滚：ArgoCD 自动同步至上一版本基线 Artifact
# - 生成回滚证据报告：包含变更人、时间、基线版本、回滚原因