📚 课程目录第4章权限变更风险定义

4. 权限变更风险定义：类型与签名链路影响

在平台工程 IDP 制品签名链路中，权限变更并非简单的“加人”或“删人”。每一次权限的新增、修改或撤销，都可能直接改变签名链路的信任基线，导致签名密钥泄露、签名策略绕过或审计断裂。本节将系统定义三类权限变更，并逐一分析其在签名链路中的具体风险。

变更类型	定义	典型场景
新增	为某个实体（用户、服务账号、流水线角色）授予原本不具备的签名相关权限	新入职运维人员被加入“制品签名审批组”；CI 流水线新增“密钥读取”角色
修改	调整已有实体的权限范围、有效期或约束条件	将签名密钥的访问权限从“只读”改为“读写”；延长临时签名令牌的有效期
撤销	移除某个实体已拥有的签名相关权限	员工离职后未及时回收签名密钥访问权；流水线废弃后未清理关联的签名角色

关键认知： 在签名链路中，“撤销”往往比“新增”更容易被忽视。权限撤销不完整或延迟，是导致签名密钥后门长期存在的首要原因。

以下矩阵将三类权限变更映射到签名链路的四个核心环节：密钥管理、签名策略、签名执行、签名验证。

签名链路环节	新增风险	修改风险	撤销风险
密钥管理	新增实体获得密钥导出/备份权限，导致密钥副本扩散	密钥轮换周期被修改为“从不轮换”，密钥长期暴露	密钥管理员权限被撤销后，遗留的未回收密钥副本仍可被滥用
签名策略	新增实体被允许绕过签名策略（如跳过双人审批）	签名策略的“允许签名者列表”被修改，加入不受控的实体	签名策略的审计规则被撤销，导致后续签名行为无法追溯
签名执行	新增流水线角色获得“自动签名”权限，跳过人工审核	签名执行超时时间被修改为无限长，令牌泄露风险剧增	签名执行角色的权限被撤销，但已签名的制品仍可被重新注入
签名验证	新增实体获得“跳过验证”权限，未签名制品进入生产	验证策略从“强制验证”修改为“仅警告”，签名形同虚设	验证公钥的访问权限被撤销，导致合法制品无法通过验证

从上述矩阵中可以提炼出三种贯穿签名链路的风险模式：

⚠ 常见误区： 许多团队只关注“谁有权签名”，却忽略了“谁有权修改签名策略”和“谁有权撤销签名权限”。后两者才是攻击者真正瞄准的高价值目标。

下图展示了一次典型的权限变更（以“修改”为例）如何在签名链路中引发连锁风险：

为了在模板策略评审中准确评估每一次权限变更的风险等级，建议从以下四个维度进行量化打分：

评估维度	低风险（1分）	中风险（2分）	高风险（3分）
影响范围	仅影响单个非生产环境	影响多个非生产环境	影响生产环境或核心签名基础设施
变更时效	临时权限，24小时内自动撤销	临时权限，有效期超过7天	永久权限变更
审计追溯	变更全程可审计，日志实时同步	变更可审计，但日志延迟超过1小时	变更无审计或审计日志不完整
依赖关联	变更不依赖其他权限或策略	变更依赖1-2个其他权限	变更依赖3个及以上权限或跨系统策略

  评审建议： 在模板策略评审中，对总分 ≥ 8 的权限变更，应触发强制的人工审批和变更回滚预案。对总分 ≥ 10 的变更，应直接拒绝，并要求重新设计权限方案。

每一次权限变更，本质上都是在修改签名链路的 安全基线。安全基线由以下三个要素构成：

当权限变更导致上述任一要素被削弱时，签名链路的整体信任等级就会下降。下图展示了安全基线如何被权限变更逐步侵蚀：

⚠ 核心原则： 在模板策略评审中，任何权限变更都必须回答一个问题：“这次变更是否削弱了签名链路的安全基线？” 如果答案是肯定的，则必须提供补偿性控制措施（如增加审计频率、缩短令牌有效期、引入双人审批），否则变更不应被批准。