CNCF 软件供应链框架怎样拆分构建与部署信任

CNCF 软件供应链安全资料的落地重点，是把每个环节的信任关系明确写出来：构建侧证明“什么输入由什么构建器产生了这个制品”，部署侧再判断“这个制品是否符合当前环境的使用条件”。构建成功、来源证明存在和生产部署获准，不能合并成一个状态。

CNCF 官方地址：https://www.cncf.io/

CNCF 供应链资料入口：https://contribute.cncf.io/projects/best-practices/security/supply-chain/

这里的“框架”指安全原则、最佳实践和评估方法，不是一款安装后自动获得信任的软件。CNCF 的相关白皮书已有多个版本；本文结合官方资料与 SLSA 验证说明解释职责拆分，不把历史白皮书当成刚发生的发布新闻。

触发信号：流水线是绿的，生产为什么仍被拦

构建流水线完成，只能说明它按照自身条件执行结束。部署可能仍因来源不在允许列表、制品摘要不一致、目标环境要求不同而被阻断。值班人员遇到这种情况，应先保留待部署摘要、环境和阻断原因，再区分材料故障与策略拒绝。

例如相同应用的预览环境允许候选分支，生产环境只允许受保护发布流程。预览放行不意味着生产也必须放行。反过来，如果全部环境都突然报材料不可读，更应先看制品服务或权限变化，而不是逐个修改业务发布条件。

构建可信和允许部署是两份判断

构建侧记录源码版本、构建器身份、构建输入与制品摘要，并输出来源证明。部署侧持有受控的部署策略，明确目标环境接受哪些来源、构建类型和外部参数。构建器提供声明，消费者负责依据预先确定的信任配置解释声明。

SLSA 的验证说明要求核对来源证明签名、构建器身份与受信任配置，以及 buildType 和 externalParameters 等预期值；还需确认 statement 的 subject 对应待用制品摘要。这些是具体机制参考，不应被简化成“有一个 provenance 文件就安全”。

生产放行记录应引用明确摘要和策略版本，而不是只写一个会变化的标签。若构建任务可以同时修改部署策略、创建证据并直接批准自己，逻辑上的两份判断就可能退化为同一权限边界内的自我声明。

最小职责表：谁产生材料，谁决定接受

这是工程上的职责划分示例，并非 CNCF 强制规定的岗位设置。小团队可以由同一人承担多种职责，但仍可以通过分开的受保护配置、审批条件和访问权限避免所有动作共用一个随意变更的入口。

按阻断原因分配处理人

第一类是材料不可读：制品或来源证明取不到、权限不足、格式不兼容。交由制品平台与验证器维护者确认。此时无法完成判断，不应伪装成已验证通过；也不应直接认定业务代码存在风险。

第二类是摘要或来源不匹配：实际使用对象与证据 subject 不同，或构建器、源码版本不符合声明。构建团队需要核对实际产出与提升过程。如果对象已改变，应重新形成对应证据，不能把旧对象的成功结论套上去。

第三类是策略不满足：材料可以验证，但其来源或参数不在目标环境允许范围。环境负责人决定是使用正确流程重建，还是按既定例外流程处理。这里不应由重试机制反复尝试直到某个节点漏拦。

回滚要恢复旧制品，而不是恢复旧信任假设

回滚记录应指向明确的旧摘要，并保留当时关联材料。当前策略可能已变更，所以“上次部署过”不等于现在无需判断。若需要恢复一项旧策略，应把策略回退作为独立变更处理，明确适用环境和持续时间。

紧急例外宜绑定制品摘要、目标环境、批准人、原因与失效条件。不能用全局关闭验证来代替针对具体对象的决定。执行例外后，还要记录何时恢复正常条件，以及是否需要补全材料或重新构建。

这些是运维流程建议，不是规避安全控制的操作教程。具体系统的权限和批准机制应服从组织现有流程；本文没有修改任何实际部署环境或运行验证命令。

确认恢复时，要看哪些记录

材料故障恢复后，关注关联材料是否可读、验证器是否能依据当前信任配置给出明确结果。策略拒绝处理后，关注被放行的摘要与实际部署引用是否一致、采用的是哪个策略版本。不要只因流水线变绿就清除所有相关告警。

发布记录至少应保留制品摘要、来源证明定位、构建器标识、验证结论、目标环境和策略版本。证据与授权之间的关联要能追溯，但不应把令牌、私钥等秘密写进记录。

复盘时可分别统计材料读取失败、来源不匹配和策略拒绝，避免把它们都称作“供应链验证失败”。分类清楚后，才能判断是存储可用性、构建来源管理还是环境规则需要改进。本文只给出观察方向，不提供虚构的上线指标或效果数字。

制品验证能替代部署权限吗

不能。制品来源可验证，不代表发起部署的人有权限，也不代表它适用于每个环境。

同一个制品能否进入多个环境

可以由各环境分别判断是否接受。同一摘要可以复用，环境授权条件不必完全相同。

来源证明能证明应用没有漏洞吗

不能。它描述构建来源及相关事实，漏洞和业务风险还需要对应的控制。

参考：CNCF 软件供应链最佳实践；CNCF 供应链白皮书 v2 存档；SLSA 制品验证说明。