📚 课程目录第4章技术栈概览

4. 技术栈概览：GitOps（ArgoCD）、策略引擎（OPA/Gatekeeper）、CI/CD（Tekton/GitHub Actions）、可观测性（OpenTelemetry）

全链路可追溯设计依赖一套高度集成、职责分明的云原生技术栈。每个组件在安全基线变更的“定义-审批-部署-验证-回滚”闭环中承担特定角色。本章从架构视角拆解四大核心模块的交互逻辑与集成要点。

下表梳理各工具在安全基线变更生命周期中的核心职责，以及它们产生的可追溯证据类型：

技术组件	核心职责	产生的可追溯证据	与安全基线的关联
ArgoCD（GitOps）	声明式部署、状态同步、自动/手动回滚	Git 提交 SHA、Application 状态快照、Sync 操作日志	集群实际状态与 Git 仓库中的安全基线 YAML 保持一致
OPA / Gatekeeper	策略即代码、准入控制、合规审计	Constraint 模板版本、Violation 记录、审计结果	强制安全基线（如禁止特权容器、强制只读根文件系统）
Tekton / GitHub Actions	CI/CD 流水线、自动化测试、镜像构建与签名	PipelineRun 日志、TaskRun 结果、签名凭证	在构建阶段注入安全扫描、策略检查，阻断不合规变更
OpenTelemetry	分布式追踪、指标收集、日志关联	Trace ID、Span 上下文、Metrics 时间序列	将变更事件与运行时行为关联，辅助回滚决策

  架构原则： Git 仓库是唯一事实来源（Single Source of Truth）；策略引擎在准入阶段拦截违规；CI/CD 流水线生成不可篡改的构建证据；可观测性系统提供变更后的运行时验证。

ArgoCD 与 OPA/Gatekeeper 构成“声明式期望状态 + 策略强制”的双层防线。ArgoCD 确保集群运行状态与 Git 仓库中的安全基线一致；Gatekeeper 则在资源创建或更新时，实时校验是否违反安全策略。

开发/运维人员 修改 Git 仓库中的安全基线配置（如 Pod Security Standards）。
ArgoCD 检测到 Git 仓库变更，触发自动同步。
Kubernetes API Server 收到 ArgoCD 的 Apply 请求，触发 Gatekeeper 的 Admission Webhook。
Gatekeeper 根据预定义的 ConstraintTemplate 和 Constraint 评估请求。若违反策略，请求被拒绝，ArgoCD 同步失败并记录错误。
通过后，资源被创建/更新，ArgoCD 更新 Application 状态。

可追溯设计要点： 在 ArgoCD 的 Application 中启用 syncPolicy 的 prune: true 时，务必配合 Gatekeeper 的 deny 规则，防止意外删除关键安全资源。所有拒绝事件都应通过 Audit 日志输出到 OpenTelemetry。

Tekton 和 GitHub Actions 负责在代码提交后，自动执行安全基线验证。它们不仅构建容器镜像，还负责签名、扫描漏洞、检查策略合规性，并将结果作为“构建证据”存入可追溯系统。

阶段	工具/动作	安全基线检查项	证据产出
代码检出	Git Checkout	验证提交者签名（GPG）	Commit SHA + 签名状态
镜像构建	Kaniko / Docker Build	使用基础镜像摘要（Digest）而非标签	镜像 Digest + SBOM
安全扫描	Trivy / Grype	CVE 阈值检查（如禁止 Critical 漏洞）	扫描报告 JSON
策略检查	OPA Conftest	Kubernetes 清单合规性（如禁止 latest 标签）	Conftest 测试结果
镜像签名	Cosign	使用私钥对镜像 Digest 签名	签名凭证（存储在 Rekor 中）
部署触发	更新 Git 仓库清单	自动生成新环境标签	Git 提交 + ArgoCD 自动同步

常见陷阱： 流水线中若跳过“策略检查”阶段直接部署，会导致不合规的镜像进入生产环境。务必在 Tekton Pipeline 的 tasks 中设置 runAfter 依赖，确保安全扫描通过后才执行签名和部署触发。

OpenTelemetry 将 GitOps、策略引擎、CI/CD 流水线的事件串联成端到端 Trace。当安全基线变更导致生产故障时，运维人员可以通过 Trace ID 快速定位：变更从哪个 Git 提交开始、经过了哪些策略检查、在哪个阶段被部署、以及部署后的运行时指标变化。

ArgoCD 事件导出： 通过 Webhook 或 Event 监听器，将 Sync 状态、Health 状态变化发送到 OpenTelemetry Collector。
Gatekeeper Audit 日志： 配置 auditFromCache，定期输出审计结果，并通过 opentelemetry-collector 的 k8s_events receiver 采集。
CI/CD 流水线注入： 在 Tekton Task 或 GitHub Actions 中，通过环境变量 OTEL_EXPORTER_OTLP_ENDPOINT 和 OTEL_SERVICE_NAME 启用自动 instrumentation。
回滚触发关联： 当 ArgoCD 执行回滚操作时，生成新的 Span，其 Parent Span ID 指向原始部署的 Trace，形成完整的变更谱系。

  可追溯设计核心指标： 从“Git 提交”到“生产环境回滚完成”的端到端 Trace 完整率应达到 99.9%；每个 Span 必须携带 baseline.version 和 change.request.id 属性。

下图展示四个技术栈如何协同工作，形成安全基线变更的全链路闭环：

由于本章已输出两张 SVG 图（ArgoCD+Gatekeeper 集成流程、CI/CD 流水线安全阶段），此处以结构化列表呈现集成架构总览：

架构总览（文字版）：