@umacloud/knowledge 1.0.1

package/cicd/03-checklists/pipeline-security-checklist.md

@@ -0,0 +1,168 @@
+---
+id: pipeline-security-checklist
+title: CI/CD 管道安全检查清单
+domain: cicd
+category: 03-checklists
+difficulty: intermediate
+tags: [agent, checklist, cicd, pipeline, security, 快速评估矩阵, 概述]
+quality_score: 70
+last_updated: 2026-06-15
+---
+# CI/CD 管道安全检查清单
+
+## 概述
+
+CI/CD 管道是软件供应链中最关键的攻击面之一。一旦管道被攻破，攻击者可以注入恶意代码
+到生产环境。本清单覆盖密钥管理、依赖安全、镜像安全、访问控制和审计日志五大领域，
+适用于 GitHub Actions、GitLab CI、Jenkins、Azure DevOps 等主流平台。
+
+---
+
+## 一、密钥管理
+
+### 1.1 密钥存储
+
+- [ ] 所有密钥/凭据通过平台原生 Secret 管理（GitHub Secrets / Vault / AWS SM）
+- [ ] 禁止在代码仓库中硬编码任何密钥、Token 或密码
+- [ ] 禁止在 CI 日志中打印密钥（已配置 secret masking）
+- [ ] 密钥不通过环境变量在 Job 间传递（使用平台原生机制）
+
+### 1.2 密钥轮换
+
+- [ ] 所有 CI/CD 使用的密钥有明确的轮换周期（建议 ≤ 90 天）
+- [ ] 密钥轮换有自动化或半自动化流程
+- [ ] 已废弃的密钥已从所有环境中移除
+- [ ] 密钥泄露事件有应急响应流程（< 1 小时完成轮换）
+
+### 1.3 最小权限
+
+- [ ] CI/CD 使用的 Token 权限最小化（只读代码 + 写入构建产物）
+- [ ] 部署 Token 按环境隔离（dev/staging/prod 使用不同凭据）
+- [ ] 第三方服务 Token 限制 IP 白名单或访问范围
+- [ ] 定期审计（每季度）密钥权限是否仍然必要
+
+---
+
+## 二、依赖安全
+
+### 2.1 依赖扫描
+
+- [ ] 每次 CI 构建自动执行依赖漏洞扫描（Snyk / Trivy / Dependabot）
+- [ ] 高危/严重漏洞（CVSS ≥ 7.0）阻断构建
+- [ ] 扫描覆盖所有语言的依赖（npm/pip/maven/go mod）
+- [ ] 扫描覆盖操作系统层依赖（基础镜像中的系统包）
+
+### 2.2 依赖锁定
+
+- [ ] 使用 lock 文件锁定依赖版本（package-lock.json / poetry.lock / go.sum）
+- [ ] CI 中使用 `npm ci` 而非 `npm install`（确保使用 lock 文件）
+- [ ] 禁止使用不固定版本范围的依赖（如 `latest` 或 `*`）
+- [ ] 依赖更新通过 PR 审查而非自动合并
+
+### 2.3 供应链安全
+
+- [ ] 启用依赖来源验证（npm provenance / sigstore）
+- [ ] 私有包使用私有 Registry（而非公共源的 scope 包）
+- [ ] 定期检查是否存在 typosquatting 风险的依赖名
+- [ ] CI 环境的包管理器配置仅允许受信任的 Registry
+
+---
+
+## 三、容器镜像安全
+
+### 3.1 镜像构建
+
+- [ ] 使用官方或受信任的基础镜像（固定 digest 而非 tag）
+- [ ] 多阶段构建：最终镜像不包含构建工具和源代码
+- [ ] 镜像以非 root 用户运行
+- [ ] Dockerfile 通过 Hadolint 等工具静态检查
+
+### 3.2 镜像扫描
+
+- [ ] 每次构建自动执行镜像漏洞扫描（Trivy / Grype / Clair）
+- [ ] 高危漏洞阻断镜像推送到 Registry
+- [ ] 定期扫描已部署的镜像（即使未重新构建）
+- [ ] 扫描结果集中存储并可审计
+
+### 3.3 镜像签名与验证
+
+- [ ] 构建产物（镜像）使用 cosign 或 Notary 签名
+- [ ] 部署环境配置签名验证策略（仅部署已签名镜像）
+- [ ] 签名密钥与构建密钥隔离存储
+- [ ] 镜像 Registry 启用内容信任（Content Trust）
+
+---
+
+## 四、访问控制（RBAC）
+
+### 4.1 管道权限
+
+- [ ] CI/CD 管道配置修改需要 PR 审查（不可直接推送）
+- [ ] 生产部署管道需要至少一人审批
+- [ ] Self-hosted Runner 的访问权限严格控制
+- [ ] 管道执行权限按角色分配（开发/测试/运维）
+
+### 4.2 环境隔离
+
+- [ ] 不同环境（dev/staging/prod）使用独立的 Runner/Agent
+- [ ] 生产环境部署限制在特定分支（main/release）
+- [ ] 环境变量和密钥按环境隔离
+- [ ] PR 构建无法访问生产环境的密钥和资源
+
+### 4.3 第三方集成
+
+- [ ] GitHub App / OAuth App 权限定期审计
+- [ ] Webhook 配置使用 Secret 验证签名
+- [ ] 第三方 CI 插件/Action 锁定版本（使用 commit SHA 而非 tag）
+- [ ] 禁止使用未经审查的社区 Action/Plugin
+
+---
+
+## 五、审计日志
+
+### 5.1 日志覆盖
+
+- [ ] 所有管道执行记录保留 ≥ 90 天
+- [ ] 管道配置变更有审计日志
+- [ ] 密钥访问和修改有审计日志
+- [ ] 部署操作（谁、何时、部署什么版本）有完整记录
+
+### 5.2 日志安全
+
+- [ ] 审计日志不可被管道执行者删除或修改
+- [ ] 日志中不包含明文密钥（secret masking 验证）
+- [ ] 日志集中存储到独立的日志系统（不与应用日志混合）
+- [ ] 异常操作（非工作时间部署/连续失败/权限变更）有告警
+
+### 5.3 合规与报告
+
+- [ ] 可生成管道安全合规报告（满足 SOC2 / ISO27001 要求）
+- [ ] SBOM（软件物料清单）自动生成并随构建产物归档
+- [ ] 安全扫描结果可导出为标准格式（SARIF / CycloneDX）
+- [ ] 定期（每季度）审计报告提交给安全团队
+
+---
+
+## 快速评估矩阵
+
+| 领域 | 必选项数 | 已达标 | 状态 |
+|------|---------|--------|------|
+| 密钥管理 | 12 | __ | |
+| 依赖安全 | 12 | __ | |
+| 镜像安全 | 12 | __ | |
+| 访问控制 | 12 | __ | |
+| 审计日志 | 12 | __ | |
+| **总计** | **60** | **__** | |
+
+优先级：密钥管理 > 访问控制 > 依赖安全 > 镜像安全 > 审计日志
+
+## Agent Checklist
+
+- [ ] 密钥是否通过平台原生机制管理（非硬编码）
+- [ ] 依赖扫描是否在 CI 中自动执行
+- [ ] 容器镜像是否经过扫描和签名
+- [ ] 生产部署是否有审批和分支限制
+- [ ] 审计日志是否覆盖管道执行和配置变更
+- [ ] 第三方 Action/Plugin 是否锁定版本
+- [ ] SBOM 是否自动生成
+- [ ] 不达标项是否有修复计划和时间表