📚 课程目录第1章课程导论

1. 课程导论：Argo CD 回滚护栏的概念、为什么需要回滚护栏、Rego 策略在其中的角色

在 GitOps 工作流中，回滚是将应用状态恢复到历史版本的标准操作。然而，无限制的回滚可能引入比当前故障更严重的问题——例如回滚到包含已知安全漏洞的旧镜像、跳过强制审批流程、或破坏数据库 schema 兼容性。

回滚护栏（Rollback Guardrails） 是一组在回滚操作执行前进行校验的自动化策略规则。它们充当“安全门”，确保只有符合组织合规性、安全基线、依赖兼容性及变更管理策略的回滚请求才能被 Argo CD 执行。

  核心定义： 回滚护栏 = 在 Argo CD 回滚流程中嵌入的策略执行点，用于拦截不符合预定义规则的版本回退操作。

以下表格总结了无护栏回滚的典型风险与护栏带来的收益：

在云原生环境中，回滚频率高、影响面广、自动化程度强，人工审核无法覆盖每一次回滚。回滚护栏将策略自动化，在 Argo CD 执行 rollback 操作前完成校验，是 GitOps 安全治理的关键一环。

Rego 是 Open Policy Agent（OPA）的声明式策略语言。在回滚护栏架构中，Rego 扮演以下核心角色：

策略定义层： 使用 Rego 编写回滚准入规则，例如“禁止回滚到镜像标签为 :latest 的版本”或“回滚目标版本必须存在 SBOM 记录”。
决策引擎： OPA 作为策略引擎，接收 Argo CD 的回滚请求（包含目标版本、应用元数据、环境信息），执行 Rego 规则并返回 allow 或 deny 决策。
数据集成： Rego 规则可以查询外部数据源（如 CVE 数据库、审批系统、版本兼容性矩阵），实现上下文感知的护栏判断。
审计与可观测性： 每次回滚决策的输入、输出、规则命中情况均可通过 Rego 的 print 函数或 OPA 的决策日志记录，满足合规审计要求。

关键认知： Rego 不是回滚护栏的唯一实现方式，但它是云原生生态中与 Argo CD 集成最紧密、表达能力最强、社区最活跃的策略语言。本课程所有实战均基于 Rego + OPA 构建。

下图展示了 Argo CD 回滚护栏的完整数据流与策略执行点：

根据策略的复杂度和数据依赖，回滚护栏通常分为以下三种模式：

静态规则模式： 基于回滚请求本身的属性做判断，例如禁止回滚到 image:latest、禁止回滚到 10 个版本之前的旧版本。Rego 规则无需外部数据。
上下文感知模式： 结合环境标签、应用名称、命名空间等上下文信息。例如“生产环境禁止回滚到未经过 staging 验证的版本”。Rego 规则通过 input 获取 Argo CD 请求上下文。
数据驱动模式： 查询外部数据源（如 CVE 数据库、审批系统、版本兼容性矩阵）。Rego 规则通过 OPA 的 data 或 http.send 获取外部数据，实现动态决策。

实战提示： 本课程将从最简单的静态规则模式开始，逐步过渡到数据驱动模式。请确保你已掌握 Rego 基础语法（package、input、data、rule、deny 惯用模式），后续章节将直接基于这些概念构建护栏策略。

本章作为导论，为后续 29 章实战打下概念基础。从下一章开始，你将依次学习：

现在你已经理解了回滚护栏的必要性与 Rego 的核心角色，让我们进入第 2 章，深入 Argo CD 回滚请求的数据模型。