VIP9

本课程属于：026-Kubernetes集群可靠性与灾备工程 后端、数据与云原生工程 · 共 9 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

Helm校验服务网格流量拓扑发布包完整性

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

服务网格与流量拓扑概述 · 发布包完整性校验的重要性 · Helm在云原生生态中的角色

课程导论服务网格

服务网格基础

Istio架构核心组件（Pilot · Mixer · Citadel

服务网格基础Istio

流量拓扑概念

什么是流量拓扑 · 服务间调用关系图 · 拓扑在可观测性与安全中的价值

流量拓扑概念什么是流量拓扑

Helm包管理基础

Chart结构 · 模板引擎 · Values文件

Helm包管理基础

Helm发布流程

helm install/upgra… · 发布历史管理与回滚机制

Helm发布流程

发布包完整性威胁模型

篡改风险 · 中间人攻击 · 依赖劫持

发布包完整性威胁…篡改风险

校验技术概览

哈希校验 · 数字签名 · Provenance文件

校验技术概览哈希校验

Helm Provenance机制

.prov文件结构 · 签名生成与验证流程 · GPG密钥对管理

Chart签名实践

使用helm package --s… · gpg密钥导入导出 · 签名验证命令

Chart签名实践

Chart锁文件（Chart.lock）

依赖锁定原理 · helm dependency up… · 锁文件校验

ChartChart.lock

完整性校验工具链

helm verify · helm dep build · cosign

完整性校验工具链helm

服务网格流量拓扑数据模型

服务名 · 命名空间 · 端口

服务网格流量拓扑…服务名

拓扑发布包结构设计

Chart中定义拓扑CRD · Values中描述路由规则 · ConfigMap存储拓扑快照

拓扑发布包结构设…Chart

拓扑数据完整性校验需求

确保拓扑未被篡改 · 确保路由规则与预期一致 · 防止配置漂移

拓扑数据完整性校…确保拓扑未被篡改

基于哈希的拓扑校验

对拓扑JSON/YAML计算SHA2… · 将哈希嵌入Chart注解 · 部署时校验

基于哈希的拓扑校…JSON/YAML

基于签名的拓扑校验

使用GPG对拓扑文件签名 · 在Helm钩子中验证签名 · 失败时阻止部署

基于签名的拓扑校…GPG

集成校验到CI/CD流水线

GitHub Actions中签名C… · ArgoCD PreSync钩子校验 · Jenkins Pipeline示例

CI/CD集成校验到

使用Kyverno策略校验拓扑

ClusterPolicy定义校验规… · 验证Chart镜像签名 · 拒绝未签名Chart

使用Cosign进行镜像与Chart签名

Cosign安装 · 对Chart进行cosign签名 · 在Helm中集成cosign验证

流量拓扑的版本控制

拓扑版本号管理 · Chart版本与拓扑版本映射 · 版本兼容性检查

流量拓扑的版本控…拓扑版本号管理

拓扑变更审计

记录每次拓扑变更的签名者 · 时间戳 · 变更内容

拓扑变更审计记录每次拓扑变更…

多集群拓扑一致性校验

跨集群同步拓扑 · 校验各集群拓扑哈希一致性 · 告警不一致

多集群拓扑一致性…跨集群同步拓扑

拓扑发布包回滚安全

回滚时校验旧版本完整性 · 防止回滚到被篡改版本 · 回滚审计

拓扑发布包回滚安…回滚时校验旧版本…

故障场景模拟与恢复

模拟拓扑被篡改 · 校验失败自动回滚 · 恢复后重新校验

故障场景模拟恢复

性能与安全权衡

校验对部署延迟的影响 · 缓存校验结果 · 选择轻量级签名算法

性能安全权衡

生产环境最佳实践

定期轮换签名密钥 · 多签名者策略 · 校验失败告警与阻断

生产环境最佳实践定期轮换签名密钥

与现有服务网格安全策略集成

与Istio Authorizati… · 与mTLS证书校验结合

现有服务网格安全…Istio

开源工具与生态对比

Helm原生校验 vs OPA Ga…

开源工具生态对比

电商平台微服务拓扑发布包完整性校验全…

实战案例电商平台微服务拓…

课程总结与未来展望

零信任架构下的拓扑校验 · SPIFFE/SPIRE集成 · AI辅助校验

课程总结未来展望