VIP20

本课程属于：067-Serverless平台发布流水线 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

OPA策略在Serverless流水线中的镜像签名验证实践

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

为什么Serverless流水线需要…

课程导论Serverless

安装OPA CLI · 配置Cosign工具 · 准备Serverless流水线模拟环…

环境准备OPA

镜像签名基础

Cosign的工作原理 · 生成密钥对 · 对容器镜像进行签名

镜像签名基础Cosign

镜像验证基础

使用Cosign验证镜像签名 · 理解签名载荷与公钥的关系

镜像验证基础Cosign

OPA策略语言入门

Rego语法基础 · 规则 · 表达式与查询入门

OPA策略语言入门

编写第一个OPA策略

拒绝未签名镜像的准入控制规则

OPA编写第一个

策略输入结构

理解OPA的input文档 · 构建镜像元数据输入模型

策略输入结构OPA

数据文档与绑定

使用data文档加载可信公钥列表 · 绑定外部数据

数据文档绑定

签名验证逻辑

在Rego中调用Cosign验证结果 · 解析验证输出

签名验证逻辑Rego

策略单元测试

使用opa test编写策略单元测试 · 覆盖成功与失败场景

策略单元测试opa

Serverless流水线集成

在GitHub Actions中集成…

Serverless流水线集成

GitLab CI集成

在GitLab CI流水线中调用OP…

Jenkins Serverless集成

在Jenkins Pipeline中…

JenkinsServerless

策略分发与版本管理

使用ConfigMap或对象存储管理…

策略分发版本管理

多签名者策略

支持多个可信签名者 · 实现“或”逻辑的授权规则

多签名者策略支持多个可信签名…

签名过期检查

在策略中验证签名时间戳 · 拒绝过期签名

签名过期检查策略

镜像仓库白名单

结合仓库地址与签名状态实现细粒度准入

镜像仓库白名单结合仓库地址

标签与摘要验证

强制要求使用镜像摘要而非标签 · 防止标签篡改

标签摘要验证

策略性能优化

编译缓存 · 规则短路 · 减少循环嵌套

策略性能优化编译缓存

日志与审计

记录策略决策日志 · 输出决策原因与证据

错误处理与回退

当OPA服务不可用时的降级策略设计

错误处理回退

策略热加载

使用OPA的Bundle API实现…

策略热加载OPA

多环境策略差异化

开发 · 测试 · 生产环境使用不同的签名要求

多环境策略差异化开发

与Kubernetes准入控制器集成

将OPA策略扩展到K8s镜像签名验证

Kubernetes准入控制器集成

策略即代码

将OPA策略纳入Git仓库 · 实施代码审查与CI测试

策略即代码OPA

安全合规场景

满足SLSA · SBOM与镜像签名联合验证

安全合规场景SLSA

常见OPA策略错误 · Cosign验证失败原因分析

故障排查OPA

高级Rego技巧

使用内置函数 · 自定义函数 · 集合操作增强策略

构建一个完整的Serverless流…

实战项目Serverless

课程总结与最佳实践

回顾关键概念 · 推荐生产级配置与后续学习路径

课程总结最佳实践