1. 课程导论：SOPS策略评审的定义、在DevSecOps中的定位、多租户隔离与制品签名链路权限变更风险的关联性
1.1 SOPS策略评审的定义与核心价值
SOPS（Secrets OPerationS / Security OPerationS Policy）策略评审是指在云原生环境中，对密钥管理、访问控制、制品签名及策略配置的变更进行结构化、可审计、自动化的审查流程。它并非简单的“代码审查”，而是将安全策略视为“代码化资产”，通过评审机制确保每一次策略变更都符合最小权限、职责分离和合规基线。
| 维度 | 传统策略变更 | SOPS策略评审 |
|---|---|---|
| 变更载体 | 工单、邮件、口头确认 | Git仓库 + 策略即代码（Policy-as-Code） |
| 审批粒度 | 粗粒度（环境级） | 细粒度（资源/路径/签名算法级） |
| 审计追溯 | 依赖事后日志 | 事前评审记录 + 不可篡改签名链 |
| 自动化程度 | 人工比对 | CI/CD门禁 + 策略引擎自动校验 |
关键定义：SOPS策略评审 = 策略变更的版本化 + 自动化门禁 + 多方签名确认，三者缺一不可。
1.2 在DevSecOps中的定位：左移策略门禁
在DevSecOps流水线中，SOPS策略评审位于“计划”与“提交”阶段之间，是左移安全策略的核心控制点。它解决了传统安全评审“上线前才介入”的滞后性问题，将策略合规性验证提前到代码合并之前。
实践要点：SOPS策略评审应作为合并请求（MR/PR）的强制门禁，未通过评审的策略变更不得进入制品签名链路。
1.3 多租户隔离与制品签名链路权限变更风险的关联性
在多租户云原生平台中，制品签名链路是保障软件供应链完整性的最后一道防线。当SOPS策略评审缺失或流于形式时，权限变更可能绕过隔离边界，导致以下三类典型风险相互交织：
- 租户A的签名密钥被租户B滥用：由于策略评审未校验密钥归属的租户标签，权限变更可能将签名密钥暴露给非授权租户。
- 签名策略被降级：攻击者通过提交“放宽签名算法要求”的策略变更，使弱签名或未签名制品通过校验。
- 审计链路断裂：权限变更未记录签名者身份，导致事后无法追溯是哪个租户、哪个角色发起了危险变更。
| 风险维度 | 多租户隔离失效表现 | 制品签名链路影响 | SOPS策略评审控制点 |
|---|---|---|---|
| 密钥泄露 | 跨租户读取签名私钥 | 伪造合法签名，植入恶意制品 | 校验密钥策略的tenant_id标签是否匹配 |
| 策略降级 | 租户A修改全局签名策略 | 允许未签名制品进入生产环境 | 强制签名算法版本号不得低于基线 |
| 权限逃逸 | 普通开发者获得策略审批权 | 绕过双人复核，直接变更签名规则 | 要求策略变更必须包含至少2个不同角色的签名 |
| 审计盲区 | 变更日志缺少租户上下文 | 无法定位风险来源 | 强制策略变更提交时附带租户标识和变更原因 |
1.4 风险关联性的可视化模型
下图展示了多租户隔离、制品签名链路与权限变更风险之间的三角关联关系，以及SOPS策略评审如何作为核心控制点阻断风险传导：
⚠️ 常见误区：不要将SOPS策略评审等同于“审批流程”。没有自动化校验和签名链审计的评审，无法有效阻断多租户隔离与制品签名链路之间的风险传导。评审必须包含策略即代码（Policy-as-Code）的自动验证步骤。
1.5 本章小结与课程路线图
- SOPS策略评审是DevSecOps左移安全策略的关键门禁，将策略变更的合规性验证前置到代码合并阶段。
- 多租户隔离与制品签名链路通过权限变更形成风险三角：隔离失效导致密钥泄露，权限逃逸导致策略降级，审计盲区导致无法追溯。
- 本课程后续章节将深入：SOPS策略的编写规范、自动化评审引擎设计、多租户签名策略的隔离实现、以及权限变更的审计追溯方案。