1. 课程导论：IDP、制品签名链路与回滚策略
在云原生与平台工程快速演进的今天，内部开发者平台（Internal Developer Platform, IDP）已成为大型组织提升研发效能的核心载体。然而，随着流水线自动化程度提高，制品签名链路的完整性保障与回滚策略的设计，成为决定平台可信度的关键瓶颈。本章作为课程开篇，将厘清三个基础概念，并建立后续技术实现的认知框架。
1.1 什么是 IDP（内部开发者平台）？
IDP 并非简单的 CI/CD 工具集合，而是一层抽象层，它将基础设施复杂性、安全策略、部署流程封装为开发者可自助消费的“黄金路径”。其核心价值在于：
- 降低认知负载：开发者无需关心底层 K8s 集群、网络策略、存储配置。
- 标准化交付：通过预定义的模板与流水线，确保每次构建、签名、部署行为一致。
- 内置安全与合规：将签名、扫描、策略检查嵌入平台能力，而非事后人工审计。
关键认知： IDP 的本质是“平台团队”与“应用团队”之间的契约。制品签名链路是这份契约中不可篡改的“数字公证人”。
1.2 制品签名链路的重要性
制品签名链路（Artifact Signing Chain）是指从源代码提交、构建、签名、存储到部署的完整信任传递过程。其重要性体现在三个维度：
| 维度 | 风险场景 | 签名链路的作用 |
|---|---|---|
| 供应链安全 | 恶意依赖注入、构建环境被篡改 | 确保每个制品的来源可追溯、内容未被篡改 |
| 合规审计 | 金融/医疗行业要求 SBOM 与签名记录 | 提供不可否认的签名证据链，满足 SOC2/PCI-DSS 要求 |
| 部署可信 | 部署了未签名的测试制品到生产环境 | 通过策略引擎强制“无签名不部署” |
行业实践： 主流方案（如 Sigstore/cosign、Notary、AWS Signer）均采用“短生命周期证书 + 透明日志”模式，将签名链路与平台身份绑定。
1.3 为什么需要回滚策略？
在 IDP 中，签名链路一旦出错，影响范围往往是全局性的。常见的故障场景包括：
- 签名密钥轮换失败：新密钥未同步至策略引擎，导致所有新制品验证失败。
- 签名服务中断：内部 Sigstore 或 KMS 服务宕机，流水线阻塞。
- 策略配置错误：误将“必须使用 v2 签名算法”策略下发，而存量制品仍为 v1 格式。
- 证书链过期：根证书或中间 CA 证书未及时续期，导致验证链断裂。
没有回滚策略，上述问题将直接导致：
- 开发团队无法部署任何新版本（流水线死锁）。
- 运维团队被迫手动重建签名环境，耗时数小时。
- 安全团队失去对制品可信状态的可见性。
核心原则： 签名链路的回滚不是“撤销一次部署”，而是“恢复信任基座”。回滚策略必须覆盖密钥、策略、证书、服务配置四个层次。
1.4 IDP 制品签名链路全景图
下图展示了 IDP 中制品签名链路的完整生命周期，以及回滚策略的介入点：
1.5 课程核心目标
通过本课程，你将掌握以下能力：
- 设计：在 IDP 中设计可回滚的签名链路架构，覆盖密钥、证书、策略、服务四个维度。
- 实现：基于 Sigstore/cosign、OPA、KMS 等工具，编写自动化回滚流水线脚本。
- 验证：构建混沌工程测试用例，验证回滚策略在签名服务中断、密钥泄露等场景下的有效性。
- 治理：制定签名链路回滚的变更管理流程与审计追踪规范。
课程前置要求： 熟悉 CI/CD 基础概念（Jenkins/GitLab CI/GitHub Actions）、了解容器镜像与 K8s 基本操作、具备基础的安全意识（对称/非对称加密、证书链）。无需深度密码学背景。