Cloud Native Computing Foundation ·

为开源项目保障CI/CD安全：控制谁运行什么

💡 原文英文，约1500词，阅读约需6分钟。

📝

内容提要

过去一年，开源供应链面临安全挑战，特别是npm和PyPI的攻击。Cilium项目采取措施加强供应链安全，包括限制构建触发、分离可信与不可信代码、使用CODEOWNERS进行审查等。未来将继续改进依赖管理和凭证隔离。

🎯

🔎

随着开源项目的普及，供应链安全问题日益突出。Cilium项目的经验表明，攻击者可以通过常规更新传播恶意软件，影响广泛的用户。因此，确保CI/CD流程的安全性至关重要，尤其是在处理外部贡献代码时。

Cilium通过限制谁可以触发构建和执行代码来管理信任。使用Ariane工具，只有经过验证的组织成员才能启动CI工作流，这减少了外部攻击的风险。此外，分离可信与不可信代码的做法，确保了潜在的恶意代码不会被执行。

Cilium项目利用CODEOWNERS机制确保CI配置的更改经过安全团队的审核。这种做法不仅提高了代码审查的质量，也增强了团队对安全问题的敏感性，确保每次更改都在专业人员的监督下进行。

❓

Cilium项目通过限制构建触发、分离可信与不可信代码、使用CODEOWNERS进行审查等措施来加强安全性。

CODEOWNERS是一个文件，用于指定哪些团队负责审查特定目录下的更改。在Cilium项目中，CI配置的更改需要经过安全团队的审核。

Cilium项目通过两阶段检出机制来处理不可信代码，确保只有来自可信源的代码被执行。

Cilium项目使用Ariane，一个GitHub机器人，限制只有经过验证的组织成员才能触发CI工作流。

所有发布的镜像和Helm图表都使用Sigstore Cosign进行签名，并附带SBOM证明，以确保其安全性。

Cilium项目计划继续改进依赖管理和凭证隔离，以解决现存的安全漏洞。

🏷️