1. 合规审计概述：定义、目标与重要性
1.1 合规审计的定义
合规审计（Compliance Audit）是一种系统化、独立且文档化的评估过程，用于验证组织的活动、流程、系统及控制措施是否符合既定的法律、法规、行业标准、内部政策及合同义务。在SRE（站点可靠性工程）语境下，合规审计不仅关注财务或数据隐私，更聚焦于基础设施配置、变更管理、访问控制、可观测性数据保留以及SLI/SLO的度量口径是否与承诺一致。
核心公式： 合规审计 = 证据收集 + 标准比对 + 偏差判定 + 整改跟踪
1.2 合规审计的目标
合规审计在SRE体系中服务于四个核心目标，这些目标直接支撑系统的可靠性与可审计性：
| 目标维度 | 具体描述 | SRE场景示例 |
|---|---|---|
| 验证控制有效性 | 确认已部署的安全与运维控制措施按设计运行 | 审计变更审批流程是否100%执行了“四眼原则” |
| 识别合规差距 | 发现实际状态与标准要求之间的偏差 | 对比实际SLI采集口径与SLO定义文档是否一致 |
| 降低风险暴露 | 通过提前发现不合规项，减少故障、罚款或声誉损失 | 审计未加密的敏感配置项是否被意外推送到生产环境 |
| 提供独立保证 | 向管理层、客户及监管方提供客观的合规状态证明 | 出具季度性Policy Check报告，证明PII数据访问日志已保留180天 |
1.3 合规审计的重要性
在高度自动化的SRE环境中，合规审计的重要性被进一步放大。手动操作减少并不意味着风险消失，而是风险转移到了代码、策略和自动化管道中。以下是合规审计在SRE领域的关键价值：
- 防止配置漂移： 基础设施即代码（IaC）虽好，但手动热修复、临时脚本仍会导致环境偏离基线。审计能发现并纠正这些漂移。
- 保障SLI口径一致性： SLI是SLO的基石。如果不同团队对“延迟”的统计口径不一致（例如是否包含排队时间），SLO将失去意义。合规审计确保口径定义与实现代码严格对齐。
- 满足监管与认证要求： 金融、医疗、政务等行业有严格的合规要求（如PCI-DSS、HIPAA、等保2.0）。审计是获取并维持这些认证的必要环节。
- 建立信任与透明度： 定期的合规审计结果向利益相关者证明，SRE团队不仅追求速度，也重视安全与责任。
常见误区： 将合规审计视为一次性的“检查清单”活动。在SRE实践中，合规审计应嵌入到CI/CD流水线中，实现“持续合规”（Continuous Compliance），而非年末突击检查。
1.4 Policy Check在SRE中的角色
Policy Check是SRE工具箱中实现合规审计自动化的核心组件。它并非一个单一工具，而是一种将组织策略（Policy）转化为可执行、可验证的代码化规则（Policy as Code）的实践。Policy Check在SRE中的角色可以概括为以下三个层面：
- 策略代码化与版本控制： 将原本写在Wiki或PDF中的运维规则（如“所有生产环境的Pod必须设置CPU Request和Limit”）转化为OPA（Open Policy Agent）或Rego规则，并存储在Git仓库中，享受版本控制、Code Review和CI/CD。
- 自动化门禁与阻断： 在CI/CD流水线中集成Policy Check。当一次部署或配置变更违反策略时，流水线自动失败，阻止不合规的变更进入生产环境。这是“左移”合规理念的体现。
- 持续审计与证据收集： Policy Check不仅能在变更发生时进行拦截，还能定期对运行中的系统进行扫描（Drift Detection），生成合规审计报告，作为审计证据。
1.5 合规审计与Policy Check的协同流程
理解合规审计与Policy Check的关系，需要从流程视角进行审视。合规审计定义了“检查什么”和“如何证明合规”，而Policy Check提供了“如何自动化执行检查”和“如何生成证据”的技术实现。两者协同，构成了SRE合规管理的闭环：
关键洞察： 没有Policy Check的合规审计是低效的（依赖人工抽样）；没有合规审计的Policy Check是盲目的（缺乏标准基线）。两者必须结合。