📚 课程目录第1章多租户隔离概述

1. 课程导论：多租户隔离与制品签名链路的背景、挑战与课程目标

随着 Kubernetes 在企业内的普及，平台工程团队开始将 Argo CD 作为 GitOps 的核心交付引擎。当多个业务团队（租户）共享同一套 Argo CD 实例或同一 Kubernetes 集群时，多租户隔离与制品签名链路成为安全左移的关键瓶颈。

  核心矛盾： 平台团队希望统一管理交付流水线，而业务团队需要自主可控的部署权限。若隔离不当，一个租户的恶意或错误制品可能污染整个集群的供应链。

制品签名链路（从代码提交 → CI 构建 → 镜像签名 → 策略验证 → Argo CD 同步）是保障供应链完整性的最后一道防线。然而，在多租户场景下，签名密钥管理、策略分发、信任锚点隔离等问题被急剧放大。

挑战维度	具体问题	典型风险
控制面隔离	Argo CD 项目（Project）与 RBAC 的映射粒度不足	租户 A 可以读取或修改租户 B 的应用配置
数据面隔离	多个租户的应用部署在同一集群的同一命名空间	资源争抢、网络策略绕过、Secrets 泄露
审计与合规隔离	共享审计日志，无法区分租户操作	合规审计失败，无法追溯恶意操作来源

常见误区： 很多团队只关注 Argo CD 本身的 RBAC 配置，却忽略了制品签名链路中“谁签的、谁验的、谁部署的”三权分立问题。这往往导致隔离策略在签名环节失效。

下图展示了多租户场景下，从开发提交到 Argo CD 同步的完整链路，以及隔离边界与签名验证点的位置：

本课程旨在帮助平台工程师、安全工程师和 DevOps 团队，系统性地解决上述挑战。完成本课程后，你将能够：

课程适用人群： 本课程假设你已具备 Kubernetes 基础操作经验，了解 Argo CD 的基本概念（Application、Project、Sync）。如果你对 Sigstore/Cosign 尚不熟悉，第 3 章会提供快速入门。