1. 课程导论：IDP制品签名链路与权限变更风险概述
1.1 课程背景与核心挑战
在平台工程（Platform Engineering）实践中，内部开发者平台（IDP）通过模板策略（Template Policy）实现自助式基础设施与制品交付。然而，制品签名链路作为保障软件供应链完整性的关键环节，其权限变更往往成为安全盲区。一次未受管控的权限变更，可能导致签名密钥泄露、制品篡改或非授权发布，直接威胁生产环境安全。
核心矛盾：IDP 追求开发效率与自助化，而制品签名链路要求严格的权限管控与审计。模板策略评审正是平衡效率与安全的关键机制。
1.2 课程目标
完成本课程后，学员将能够：
- 理解 IDP 制品签名链路的核心组件与信任模型。
- 识别 签名链路中常见的权限变更风险类型与攻击面。
- 掌握 模板策略评审的方法论，包括权限最小化、变更审批流与审计追溯。
- 应用 自动化工具与策略即代码（Policy as Code）来固化评审规则。
- 设计 可审计、可回滚的制品签名权限变更流程。
1.3 目标受众
| 角色 | 关注点 | 预期收益 |
|---|---|---|
| 平台工程师 | IDP 模板设计、制品流水线集成 | 掌握安全签名集成与权限管控最佳实践 |
| 安全工程师 / DevSecOps | 供应链安全、策略评审、风险审计 | 建立签名链路风险模型与自动化评审能力 |
| 架构师 / 技术管理者 | 平台治理、合规要求、变更流程 | 制定组织级签名权限变更策略与评审标准 |
1.4 IDP 制品签名链路全景
下图展示了 IDP 中从代码提交到制品部署的完整签名链路，以及权限变更可能介入的关键节点：
1.5 权限变更风险分类
在 IDP 制品签名链路中，权限变更风险可归纳为以下四类：
| 风险类别 | 典型场景 | 影响等级 |
|---|---|---|
| 密钥访问权限变更 | 签名私钥被非授权服务或人员读取 | 严重 |
| 签名策略权限变更 | 允许跳过签名验证的规则被添加 | 高 |
| CI 流水线权限变更 | 构建任务被授予签名操作权限 | 高 |
| 审计日志权限变更 | 签名操作日志被删除或篡改 | 中 |
关键原则：任何对签名链路相关权限的变更，都必须经过模板策略评审，确保变更符合最小权限原则，并保留完整的审计轨迹。
1.6 课程结构概览
本课程共分为 6 个模块，逐步深入：
- 导论与风险建模（本章）—— 建立 IDP 签名链路全景与风险分类。
- 模板策略基础 —— 策略即代码（Policy as Code）的语法与引擎。
- 签名链路深度解析 —— 密钥管理、签名服务、验证机制的实现细节。
- 权限变更评审流程 —— 从变更请求到审批、部署、审计的完整闭环。
- 自动化评审与合规 —— 集成 CI/CD 的自动化策略检查与门禁。
- 案例实战与演练 —— 模拟权限变更攻击与模板策略响应。