📚 课程目录第3章资源变更类型概览

3. 资源变更类型概览：基础设施变更、配置变更、代码变更、数据变更、权限变更

在 Gatekeeper 一致性复核体系中，准确识别并分类资源变更类型是执行合规策略的前提。不同类型的变更触发不同的复核规则、审批流程与回滚策略。本章将系统梳理五大核心变更类型，帮助安全审计人员建立清晰的变更分类视图。

  审计要点： 权限变更在所有类型中风险最高，因其直接影响访问控制边界。Gatekeeper 复核时，权限变更必须触发 双人复核 + 24 小时延迟生效 机制。

每种变更类型在 Gatekeeper 一致性复核中对应不同的策略模板。下表展示了标准映射关系：

变更类型	Gatekeeper 约束模板	复核频率	自动修复支持
基础设施变更	`K8sAllowedResources`、`RequiredLabels`	实时	部分支持（拒绝创建）
配置变更	`ConfigMapValidation`、`PodSecurityPolicy`	实时 + 定期巡检	支持（自动回滚）
代码变更	`ImageSignatureVerification`、`SourceRepoCheck`	提交时触发	不支持（需人工介入）
数据变更	`DataMaskingPolicy`、`MutationAnnotator`	变更前 + 变更后	部分支持（标记异常）
权限变更	`RBACLeastPrivilege`、`BindingRestrictions`	实时 + 强制审批	支持（拒绝越权绑定）

实际生产环境中，一次变更操作往往同时涉及多种类型。Gatekeeper 一致性复核需要识别交叉场景并应用复合规则。

常见陷阱： 审计日志中仅记录单一变更类型标签，导致交叉场景被遗漏。建议在变更请求（CR）中启用 多类型标记 字段，强制申报所有涉及的变更维度。

下图展示了每种变更类型从提交到生效的完整生命周期，以及 Gatekeeper 在各阶段的复核介入点：

标准化变更分类标签： 在 CI/CD 流水线中强制要求每个变更请求携带 change-type 标签，取值限定为 infrastructure、configuration、code、data、permission 之一。
启用变更类型自动推断： 通过 Git 提交文件路径模式匹配（如 *.tf 推断为基础设施变更，*.yaml 推断为配置变更）减少人工申报遗漏。
建立变更类型复核矩阵： 将五大类型与 Gatekeeper 约束模板、审批人角色、回滚策略进行矩阵映射，确保每种变更都有明确的复核路径。
定期审计变更类型分布： 每月统计各类变更的占比与通过率，识别异常模式（如权限变更占比突增可能预示内部威胁）。

效率提示： 对于频繁发生的低风险配置变更，可配置 Gatekeeper 豁免规则（如仅修改描述字段），减少不必要的复核开销。但豁免规则本身必须经过安全团队审批并记录审计日志。

通过上述分类体系与复核策略，安全团队能够将 Gatekeeper 一致性复核从“一刀切”模式升级为精细化、类型感知的治理模型，显著降低误报率并提升合规覆盖率。