Nexus晋级记录与SBOM证据留存 - 第1节
1.1 Nexus Repository Manager 概述
Nexus Repository Manager 是 Sonatype 公司推出的二进制制品仓库管理平台，在 DevSecOps 工具链中承担“单一可信源”角色。它支持 Maven、npm、Docker、PyPI、NuGet 等 30+ 主流包格式，提供代理仓库、托管仓库、仓库组三层架构，是制品从构建到部署的核心。
核心定位：制品仓库 ≠ 文件服务器。Nexus 提供版本管理、访问控制、元数据索引、合规扫描、晋级策略等企业级能力，是软件供应链安全的第一道防线。
1.1.1 核心功能矩阵
| 功能模块 | 说明 | 安全价值 |
|---|---|---|
| 代理仓库 (Proxy) | 缓存中央仓库或第三方源，减少外网依赖 | 避免直接依赖不可信源，降低供应链投毒风险 |
| 托管仓库 (Hosted) | 存储组织内部构建的制品，支持版本策略 | 实现制品版本追溯与晋级控制 |
| 仓库组 (Group) | 聚合多个仓库为单一访问端点 | 简化客户端配置，统一安全策略 |
| 内容选择器 | 基于路径/坐标的细粒度访问控制 | 限制敏感制品访问范围 |
| 健康检查 | 自动检测组件漏洞与许可证风险 | 集成 Sonatype IQ Server 实现策略自动阻断 |
1.2 在制品管理中的定位
在 DevSecOps 流水线中，制品管理处于“构建输出”与“部署输入”之间的关键衔接点。Nexus 作为制品仓库，承担以下三层职责：
- 存储层：统一存放所有构建产物，避免“构建机本地存储”导致的丢失与不一致。
- 流转层：通过仓库晋级（Promotion）机制，控制制品从开发→测试→预发布→生产的阶段流转。
- 审计层：记录每次晋级操作的时间、操作人、审批信息、关联构建，形成不可篡改的审计轨迹。
实践要点：制品晋级不是简单的文件复制，而是伴随元数据更新、安全策略重新评估、签名验证的原子操作。Nexus 通过
staging 和 promotion API 实现这一过程。
1.2.1 制品晋级流程示意
1.3 为什么需要晋级记录与 SBOM
在软件供应链安全事件频发的背景下（如 SolarWinds、Log4j），仅存储制品二进制已无法满足合规与审计要求。晋级记录与 SBOM（软件物料清单）成为两大核心证据。
1.3.1 晋级记录的核心价值
| 维度 | 说明 | 典型场景 |
|---|---|---|
| 可追溯性 | 记录谁、在什么时间、基于什么构建、通过了哪些检查，将制品晋级到下一阶段 | 生产事故回溯：定位哪个版本、哪个构建引入缺陷 |
| 合规审计 | 满足 SOC2、ISO 27001、FDA 等标准对制品变更控制的证据要求 | 外部审计时提供完整的制品晋级链 |
| 自动化门禁 | 晋级记录可作为 CI/CD 流水线的决策依据，实现“检查不通过则阻断晋级” | Jenkins/GitLab CI 调用 Nexus Promotion API 实现自动门禁 |
| 版本一致性 | 确保生产环境运行的制品与测试验证的制品是同一个二进制 | 避免“测试通过但生产部署不同版本”的经典问题 |
1.3.2 SBOM 在制品管理中的角色
SBOM（Software Bill of Materials）是制品的成分清单，包含所有直接与传递依赖的组件名称、版本、许可证、漏洞信息。在 Nexus 中，SBOM 与制品绑定存储，形成“制品 + 成分清单”的证据包。
- 漏洞快速响应：当新漏洞（如 CVE-2024-XXXX）公布时，通过 SBOM 可秒级定位哪些制品受影响。
- 许可证合规：自动检测 GPL、AGPL 等传染性许可证，避免法律风险。
- 供应链透明度：向客户或监管机构提供制品的完整成分清单，满足 EO 14028 等行政令要求。
常见误区：SBOM 不是一次生成就永久有效。每次制品晋级时，应重新生成 SBOM 并关联晋级记录，因为依赖关系可能因仓库策略或版本解析变化而不同。
1.3.3 晋级记录与 SBOM 的关联关系
1.4 本章小结
- Nexus 是 DevSecOps 制品管理的核心基础设施，提供代理、托管、仓库组三层架构。
- 制品晋级是控制制品从开发到生产的关键流程，需要严格的记录与门禁。
- 晋级记录提供可追溯性与合规证据，SBOM 提供成分透明度与漏洞响应能力。
- 晋级记录与 SBOM 必须关联存储，形成完整的软件供应链证据链。