2、签名链路核心组件：签名服务、密钥管理服务(KMS)、制品仓库、CI/CD流水线集成点

制品签名链路并非单一工具，而是由四个核心组件串联而成的信任链条。任何一个组件出现配置偏差或通信故障，都会导致签名失败或验证不通过。本节逐一拆解各组件的职责、交互关系及常见故障模式。

2.1 组件职责与交互关系

下表从功能定位、输入/输出、故障影响三个维度对比四个核心组件：

2.2 签名服务

签名服务是签名链路的执行引擎。它接收来自CI/CD流水线的签名请求，将制品摘要哈希发送给KMS进行签名，并将签名结果返回给流水线或直接写入制品仓库。

2.2.1 常见故障模式

• 签名超时：KMS响应延迟超过签名服务等待阈值（通常为5-30秒）。
• 签名算法不匹配：流水线请求使用RSA-PSS，但KMS密钥仅支持ECDSA。
• 策略拒绝：签名请求中的密钥ID或命名空间不在签名服务允许列表中。
• 证书链断裂：签名服务自身TLS证书过期，导致与KMS或制品仓库的HTTPS握手失败。

2.3 密钥管理服务(KMS)

KMS是签名链路的信任锚点。它负责密钥的全生命周期管理，包括生成、存储、轮换、吊销和审计。KMS不直接暴露私钥明文，而是通过API接受签名请求并返回签名值。

2.3.1 关键配置项

2.3.2 常见故障模式

• 权限拒绝(403)：签名服务使用的服务账号未授予 kms:Sign 权限。
• 密钥不可用：密钥已被禁用、计划删除或处于导入密钥材料等待状态。
• 限流(429/503)：并发签名请求数超过KMS的QPS配额。
• 区域不匹配：签名服务在 us-east-1 调用 cn-north-1 的KMS密钥，跨区域访问未开通。

2.4 制品仓库

制品仓库是签名制品的最终存储地。它需要同时存储制品包和对应的签名文件（如 .sig、.asc、.att），并提供验证接口供下游消费方校验签名。

2.4.1 签名文件存储规范

2.4.2 常见故障模式

• 签名文件丢失：流水线上传制品后未等待签名完成即关闭连接，导致签名文件未写入。
• 元数据不一致：制品包的SHA256校验和与签名文件中的摘要不匹配。
• 存储配额不足：制品仓库达到存储上限，拒绝写入签名文件。
• 拉取超时：下游验证方拉取签名文件时网络延迟过高或仓库限流。

2.5 CI/CD流水线集成点

集成点是签名链路的编排中枢。它负责在构建完成后触发签名步骤，传递制品路径、密钥ID、签名算法等上下文，并将签名结果传递给后续部署或发布阶段。

2.5.1 集成点典型步骤

1. 构建阶段：编译代码，生成制品包（如JAR、Docker镜像、RPM包）。
2. 摘要计算：计算制品包的SHA256或SHA512哈希值。
3. 签名请求：调用签名服务API，传入摘要哈希和密钥ID。
4. 签名写入：将签名服务返回的签名值写入制品仓库或附加到制品包。
5. 验证阶段：可选步骤，在部署前验证签名是否有效。

2.5.2 常见故障模式

• 凭据泄露或过期：流水线中硬编码的KMS访问密钥过期，或服务账号令牌未轮换。
• 步骤顺序错乱：签名步骤在构建完成之前执行，导致对空文件或中间产物签名。
• 环境变量缺失：签名服务URL、密钥ID、制品路径等变量未正确注入。
• 并发冲突：多个并行流水线任务同时使用同一密钥ID，导致KMS限流或签名覆盖。

2.6 组件间故障传递链

签名链路故障往往不是孤立的。一个组件的故障会沿着调用链向下游传播。例如：

• KMS限流 → 签名服务超时 → 流水线签名步骤失败 → 制品仓库缺少签名文件 → 下游部署验证拒绝。
• KMS密钥被禁用 → 签名服务返回403 → 流水线重试耗尽重试次数 → 构建失败。
• 制品仓库存储配额满 → 签名文件写入失败 → 流水线误认为签名成功（未检查返回值）→ 部署后验证失败。