1. 课程导论：Sigstore项目背景、压测数据镜像冷启动容量基线校准的目标与意义
1.1 Sigstore 项目背景与安全定位
Sigstore 是云原生计算基金会（CNCF）旗下的开源软件签名与验证基础设施，旨在解决软件供应链中“谁签发的、内容是否被篡改、签名是否可信”三大核心问题。它通过无密钥（keyless）签名、透明日志（Rekor）和证书策略（Fulcio）三大组件，将软件制品签名从传统的 PKI 运维中解放出来，使开发者无需管理私钥即可完成可验证的签名。
核心组件与职责：
- Fulcio —— 短期证书颁发机构（CA），基于 OIDC 身份签发 X.509 证书，证书有效期通常为 10 分钟。
- Rekor —— 不可篡改的透明日志，记录所有签名元数据，支持后续审计与溯源。
- Cosign —— 客户端工具，用于签名、验证和存储容器镜像及 Blob 对象。
在生产环境中，Sigstore 服务通常以容器化形式部署在 Kubernetes 集群上。当流量突发或节点扩缩容时，新启动的 Pod 需要从镜像仓库拉取 Sigstore 组件镜像并完成冷启动初始化。这一过程的性能直接决定了服务恢复时间（RTO）和容量弹性的实际效果。
1.2 压测数据镜像冷启动容量基线校准的目标
“压测数据镜像冷启动容量基线校准”是指：在受控环境中，通过模拟 Sigstore 组件（Fulcio、Rekor、Cosign）的容器镜像冷启动过程，测量从镜像拉取到服务就绪的关键性能指标，并以此建立容量规划基准线的工程实践。其核心目标可归纳为以下四点：
| 目标维度 | 具体描述 | 关键指标 |
|---|---|---|
| 冷启动延迟量化 | 测量从 Pod 创建到 Sigstore 组件完全就绪的时间，包括镜像拉取、解压、进程启动、证书预签发等阶段。 | P50 / P95 / P99 冷启动延迟（秒） |
| 镜像拉取吞吐建模 | 评估镜像仓库在并发拉取场景下的吞吐上限，识别带宽瓶颈和镜像层缓存命中率。 | 拉取吞吐量（MB/s）、并发连接数 |
| 容量弹性边界确定 | 找出在保证 SLO 的前提下，单集群可同时冷启动的最大 Sigstore 副本数。 | 最大并发冷启动副本数 |
| 基线校准与回归 | 将压测结果作为容量基线纳入 CI/CD 门禁，每次镜像或配置变更后自动回归，防止性能退化。 | 基线偏差百分比（%） |
实践要点： 基线校准不是一次性活动。每次 Sigstore 组件版本升级、基础镜像变更或镜像仓库迁移后，都应重新执行压测并更新基线，否则容量规划将失去参考价值。
1.3 容量基线校准的意义
在 Sigstore 这类安全基础设施中，冷启动性能直接影响最终用户的签名验证体验和平台可靠性。容量基线校准的意义体现在三个层面：
- 可靠性保障： 当遭遇流量洪峰或节点故障时，新启动的 Sigstore Pod 必须快速接管服务。基线数据帮助 SRE 提前预判“需要预留多少冗余资源”以及“扩容速度是否满足 RTO”。
- 成本优化： 通过基线数据可以精确计算“每千次签名请求需要多少冷启动资源”，避免过度预留导致的资源浪费，也避免预留不足引发的连锁故障。
- 变更安全： 将基线作为性能回归门禁，任何镜像优化（如减少层数、使用 distroless 基础镜像）或配置调整（如 JVM 参数、连接池大小）都能被客观评估，防止“优化”反而导致冷启动变慢。
1.4 本课程覆盖范围与前置知识
本课程将围绕 Sigstore 压测数据镜像冷启动容量基线校准，从环境搭建、压测脚本开发、数据采集、基线生成到 CI/CD 集成，完整覆盖以下知识模块：
| 模块 | 内容 | 产出物 |
|---|---|---|
| 环境与工具链 | K8s 集群部署、镜像仓库配置、压测工具（ghz / k6 / locust）选型 | 可复现的压测环境 |
| 压测场景设计 | 冷启动并发模型、镜像层缓存策略、预热 vs 冷启动对比 | 压测场景定义文件 |
| 数据采集与指标 | Prometheus + Grafana 监控、容器启动事件追踪、镜像拉取耗时拆解 | 指标看板与原始数据集 |
| 基线生成与校准 | 统计建模、异常值处理、基线版本管理 | 基线 JSON / YAML 文件 |
| CI/CD 集成 | GitHub Actions / GitLab CI 流水线、基线比对门禁、告警策略 | 自动化回归流水线 |
前置要求： 学习者应具备 Kubernetes 基础操作能力（Pod/Deployment/Service）、熟悉容器镜像概念（层、标签、仓库）、了解基本性能测试指标（延迟、吞吐、百分位）。本课程不涉及 Sigstore 内部密码学原理的深入讲解，但会说明与冷启动相关的证书签发流程。