3. GitOps 工作流基础：声明式配置、Git 作为单一事实来源、Operator 模式（Argo CD / Flux）

在构建云原生安全基线变更的熔断机制之前，必须深入理解 GitOps 工作流的三大核心支柱。这三者共同构成了自动化回滚与安全策略执行的底层逻辑：声明式配置定义了“期望状态”，Git 作为单一事实来源确保了状态的不可变与可追溯，Operator 模式（以 Argo CD 和 Flux 为代表）则负责将期望状态持续同步至目标集群。

3.1 声明式配置：定义“期望状态”而非“操作步骤”

声明式配置是 GitOps 的基石。与传统的命令式（Imperative）运维不同，声明式模型要求用户描述系统应该是什么样子，而不是如何变成那个样子。

3.2 Git 作为单一事实来源（Single Source of Truth）

在 GitOps 模型中，Git 仓库不仅是代码存储库，更是整个集群状态的权威记录。任何对集群的修改，都必须先通过 Pull Request 合并到 Git 仓库的主分支，再由 Operator 自动同步到集群。

这一机制为安全基线变更提供了三个关键保障：

• 不可篡改性： Git 的 Commit 历史是只读追加的，任何对基线策略的修改都会留下永久记录。
• 可追溯性： 每次变更都关联了提交者、时间戳、变更说明和代码差异（Diff）。
• 可恢复性： 通过 git revert 或 git checkout 到历史 Commit，可以瞬间将整个集群的安全配置恢复到任意已知的“健康状态”。

3.3 Operator 模式：Argo CD 与 Flux 的调和循环

Operator 模式是 GitOps 的执行引擎。它通过在集群内部署一个控制器（Controller），持续运行“调和循环”（Reconcile Loop），将集群的实际状态拉向 Git 仓库中定义的期望状态。

当前主流的 GitOps Operator 是 Argo CD 和 Flux。它们在实现细节上各有侧重，但核心流程一致：

1. 监听 Git 仓库： 通过 Webhook 或轮询检测 Git 仓库的变更。
2. 对比状态： 将 Git 中的期望状态与集群中的实际状态进行 Diff。
3. 执行同步： 若存在偏差，则执行 kubectl apply 或等效操作，使集群状态对齐 Git。
4. 报告状态： 将同步结果（成功/失败/OutOfSync）写回 Git 或 UI 界面。

3.4 Argo CD 与 Flux 的关键差异与选型

虽然两者都遵循 GitOps 原则，但在架构哲学、同步策略和生态集成上存在显著差异。下表从安全基线变更场景出发，对比两者的核心特性：

3.5 声明式配置 + Git + Operator 的协同工作流

将三者结合，便构成了一个完整的、可自动熔断的安全基线变更工作流。下图展示了从“提交变更”到“自动回滚”的完整链路：

3.6 实践要点：声明式安全基线的编写规范

为了确保 GitOps 熔断机制能够正确识别安全基线的变更，声明式配置的编写需要遵循以下规范：

• 使用明确的 API 版本： 避免使用 v1beta1 等已弃用版本，防止 Operator 因版本兼容性问题导致同步失败。
• 避免动态字段： 不要在安全策略中使用 kustomize 的 commonLabels 或 namespace 等动态注入字段，这会导致 Git 中的期望状态与集群实际状态产生非预期的 Diff。
• 为关键策略添加注解： 使用 annotations 标记策略的版本、审批人和生效时间，便于 Operator 在回滚时识别变更范围。

# 示例：声明式 PodSecurityAdmission 配置（安全基线）
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: "v1.30"
  annotations:
    gitops.security/owner: "security-team"
    gitops.security/last-reviewed: "2025-03-15"
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: production
spec:
  podSelector: {}
  policyTypes:
  - Ingress