1. 课程导论：Backstage IDP 签名链路与审批记录的整体概念、课程目标与学习路径
1.1 为什么需要“签名链路”与“审批记录”？
在内部开发者平台（IDP）中，开发者通过 Backstage 模板创建服务、配置资源或申请权限时，往往涉及多个团队（平台工程、安全、合规、基础设施）的协作。每一次操作都需要可追溯、不可篡改的授权证据链，这就是签名链路的核心价值。而审批记录则是这条链路上的“审计快照”，记录谁、在何时、基于什么策略、批准或拒绝了什么操作。
核心矛盾： 传统 IDP 的审批流通常只记录“通过/拒绝”状态，缺乏对资源边界（如命名空间、云账号、环境标签）的细粒度签名验证，导致合规审计时无法证明“操作确实发生在允许的范围内”。
1.2 整体概念：签名链路与审批记录的关系
签名链路是端到端的信任传递机制，审批记录是链路上的可验证节点。两者共同构成 IDP 的合规骨架。
| 概念 | 定义 | 在 IDP 中的角色 |
|---|---|---|
| 签名链路 | 从操作发起、策略匹配、资源边界锁定到最终签发的完整加密签名链条 | 保证每一步操作的身份、权限和资源范围不可伪造 |
| 审批记录 | 链路上每个审批节点的结构化日志，包含签名、时间戳、审批人、策略 ID | 提供可审计、可导出的合规证据，满足 SOC2/ISO 27001 等标准 |
| 资源边界 | 操作所影响的具体资源范围（如集群、命名空间、云资源标签） | 签名链路的核心约束条件，防止越权操作 |
1.3 课程目标
完成本课程后，你将能够：
- 设计基于 Backstage 的签名链路架构，明确资源边界在签名中的编码方式。
- 实现审批记录的结构化存储与导出，满足内部审计与外部合规要求。
- 集成签名验证到 Backstage 模板、插件与自定义动作中。
- 调试签名链路断裂、资源边界冲突等常见生产问题。
适用人群： 平台工程师、SRE、安全工程师、Backstage 插件开发者。建议具备 Backstage 基础模板编写经验。
1.4 学习路径与章节地图
课程分为四个阶段，共 30 章。下表展示了核心模块与对应章节范围：
| 阶段 | 核心主题 | 章节范围 | 关键产出 |
|---|---|---|---|
| 基础概念 | 签名链路、资源边界、审批记录模型 | 第 1-5 章 | 概念架构图、数据模型定义 |
| 实现与集成 | Backstage 模板签名、审批插件开发 | 第 6-15 章 | 可运行的签名模板、审批记录插件 |
| 安全与合规 | 签名验证、审计导出、策略引擎 | 第 16-24 章 | 合规报告模板、签名验证 CLI |
| 生产实践 | 多集群签名、故障排查、性能优化 | 第 25-30 章 | 生产部署清单、监控看板 |
1.5 课程中的关键术语速查
在开始后续章节前，建议先熟悉以下术语：
- 签名链路（Signature Chain）： 从操作请求到最终签发的加密哈希链，每个环节都包含前一环节的签名。
- 资源边界（Resource Boundary）： 操作允许影响的最大资源范围，通常以 JSON 策略或 OPA 规则定义。
- 审批记录（Approval Record）： 包含签名、时间戳、审批人、策略 ID 的结构化审计条目。
- Backstage 模板（Template）： 使用 Scaffolder 定义的 YAML 模板，可嵌入签名与审批步骤。
- 策略引擎（Policy Engine）： 如 OPA、Kyverno，用于在签名前验证资源边界。
常见误区： 不要将“审批记录”等同于“操作日志”。审批记录必须包含可验证的签名信息，而操作日志通常只记录状态变化。在合规审计中，只有前者具有法律效力。