1. 课程导论：IDP 制品签名链路概述、自动化流水线集成的重要性、课程目标与学习路径

1.1 什么是 IDP 制品签名链路

在云原生与 DevSecOps 实践中，IDP（Internal Developer Platform，内部开发者平台） 已成为企业标准化交付的核心载体。制品签名链路是指从代码提交、构建、签名、验证到最终部署的完整信任链条。其核心目标是确保每一个交付物（容器镜像、Helm Chart、JAR 包、NPM 包等）在流转过程中未被篡改且来源可追溯。

典型的 IDP 制品签名链路包含以下环节：

1.2 自动化流水线集成的重要性

在传统开发流程中，制品签名往往作为“上线前的手动安全门禁”，效率低、易遗漏、难审计。将签名链路嵌入自动化流水线，能够带来以下核心价值：

• 左移安全（Shift Left Security）： 在构建阶段即完成签名，避免上线前才发现签名缺失。
• 不可篡改的交付证据链： 每次构建自动生成签名，并与制品绑定，形成不可否认的交付记录。
• 策略即代码（Policy as Code）： 签名验证策略与流水线集成，实现“签名不通过，部署不执行”。
• 合规自动化： 满足 SLSA、SBOM、软件供应链安全等合规要求，审计日志自动生成。
• 减少人为失误： 消除手动签名、手动上传签名、手动验证等环节，降低配置错误风险。

下表对比了“手动签名”与“自动化流水线集成签名”的关键差异：

1.3 课程目标与学习路径

本课程旨在帮助 DevOps 工程师、安全工程师与平台工程师，掌握在自动化流水线中集成 IDP 制品签名链路的完整方法。课程聚焦于 接口调用方法，而非仅停留在概念层面。

课程核心目标

1. 理解 IDP 制品签名链路的架构与核心组件。
2. 掌握主流签名工具（cosign、notation）的 API 与 CLI 调用方式。
3. 学会在 Jenkins、GitLab CI、GitHub Actions 等流水线中嵌入签名与验证步骤。
4. 能够设计并实现基于策略的签名验证门禁（Policy Enforcement Point）。
5. 具备排查签名链路故障与优化流水线性能的能力。

学习路径与章节规划

课程共分为 6 个模块，30 个章节，建议按顺序学习：

1.4 预备知识与环境要求

为获得最佳学习效果，建议学习者具备以下基础：

• 熟悉 CI/CD 流水线基本概念（Jenkinsfile、.gitlab-ci.yml、GitHub Actions YAML）。
• 了解容器镜像与 OCI 仓库的基本操作（docker push/pull、skopeo）。
• 具备基本的非对称加密概念（公钥、私钥、数字签名）。

课程实验环境推荐配置：