Cilium 硬化 CI/CD 安全实践
推荐指数 36.0 NO. 025 · 2026.06.27
发布2026/06/26
为什么值得看
Cilium 系列完结篇，聚焦 CI/CD 凭证管理与验证机制，作为云原生网络核心项目，其安全实践对基础设施类开源项目有直接参考价值。
编辑判断
基础设施开源项目的 CI/CD 安全长期被忽视，大多数项目停留在 Dependabot 扫漏洞的阶段。Cilium 这套实践的价值在于把 Sigstore 签名验证和 OIDC 联邦身份接入了 GitHub Actions，实现了无长期凭证的发布流程。
如果你维护的是被大量下游依赖的开源项目，建议重点看他们对 SLSA provenance 的生成和验证部分，这比单纯依赖扫描更能防止实际供应链攻击。国内团队可以借鉴思路，但 Sigstore 的国内可用性需要评估替代方案。
相关内容
Securing CI/CD for an open source project: lessons from Cilium Cilium 官方博客详解其 CI/CD 端到端安全方案：SHA 固定 Action、pull_request_target 两阶段检出、Reproducible 构建等实践。 Cilium CI/CD 供应链安全实践 Cilium 团队分享开源项目 CI/CD 管道依赖锁定加固方案，为三篇系列第二篇，关键基础设施项目可直接复现。 CI/CD 安全最佳实践：击败 CI/CD 挑战 涵盖 CI/CD 安全工具、常见陷阱及加密密钥泄露案例，提供 DevOps 环境下安全实践指南。