IDP制品签名Prometheus指标采集与告警 - 第1节
1.1 什么是平台工程 IDP
平台工程（Platform Engineering）的核心产出是内部开发者平台（Internal Developer Platform, IDP）。IDP 并非单一工具，而是一层由平台团队构建和维护的技术抽象层，它整合了基础设施、CI/CD、可观测性、安全策略等能力，通过统一的黄金路径（Golden Path）让开发者自助完成应用交付，而无需关心底层基础设施的复杂性。
IDP 的关键特征：
- 自助服务：开发者通过门户或 API 即可申请环境、部署应用、查看日志。
- 标准化：内置组织级的安全、合规、架构规范，减少碎片化。
- 可观测性内建：每个服务默认接入日志、指标、链路追踪。
- 安全左移：制品签名、漏洞扫描、策略即代码在交付链中自动执行。
在 IDP 中，制品（Artifact）是交付的最小单元，通常指容器镜像、Helm Chart、JAR 包或 OCI 制品。制品的完整性、来源可信度直接决定了软件供应链的安全水位。
1.2 制品签名在软件供应链安全中的核心价值
软件供应链攻击逐年攀升，攻击者通过篡改制品、注入恶意代码、劫持依赖等手段渗透下游系统。制品签名是抵御此类攻击的第一道也是最后一道防线。
| 安全威胁 | 制品签名提供的防护 |
|---|---|
| 镜像/包被篡改 | 签名验证失败，拒绝部署 |
| 依赖混淆攻击 | 只有经过签名的可信源制品才被允许 |
| 构建过程被投毒 | 签名链可追溯至构建源头，不可抵赖 |
| 非预期版本上线 | 策略引擎强制要求签名，阻断未签名制品 |
核心价值总结：制品签名实现了完整性（Integrity）、来源认证（Authentication）和不可否认性（Non-repudiation），是 SLSA（Supply-chain Levels for Software Artifacts）框架中 L2 及以上等级的必备实践。
1.3 课程目标与学习路径
本课程旨在帮助平台工程团队构建一条可观测、可审计、可自动化的制品签名链路，并利用 Prometheus 生态对签名链路进行全维度指标采集与告警。完成本课程后，你将能够：
- 设计并部署一套与 IDP 深度集成的制品签名流水线（基于 Sigstore/Cosign）。
- 在 Kubernetes 环境中配置策略引擎（如 Kyverno/OPA）强制验证签名。
- 为签名链路中的每个关键环节（签名、存储、验证、策略评估）定义 Prometheus 指标。
- 使用 Grafana 构建签名链路健康仪表盘，并设置基于 SLO 的告警规则。
学习路径概览
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础概念与工具链 | 第 1-4 章 | IDP 签名架构设计、Cosign/Sigstore 部署 |
| 签名链路实现 | 第 5-12 章 | CI/CD 集成签名、密钥管理、策略引擎配置 |
| Prom 指标采集 | 第 13-22 章 | Exporter 开发、Metrics 定义、Grafana 面板 |
| 生产化与运营 | 第 23-30 章 | 告警规则、SLO 管理、故障演练、审计合规 |
前置要求：建议学习者具备 Kubernetes 基础操作能力、了解 CI/CD 基本概念（如 GitHub Actions / GitLab CI）、对 PromQL 有初步认识。课程中涉及的工具链均以开源方案为主（Cosign / Kyverno / Prometheus Operator），降低商业依赖。