Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 444

GitOps 安全

GitOps 安全 是什么?

GitOps 安全针对 GitOps 工作流的安全实践:基础设施与应用的声明式期望状态保存在 Git 中,由自动化控制器持续与生产环境进行对账。

GitOps 把 Git 作为唯一真实源,并用 Argo CD、Flux 等工具持续将集群状态调谐到 Git 中。这使安全焦点转向 Git 仓库、提交者身份、Pull Request 控制以及 GitOps 控制器本身。关键实践包括:分支保护、签名提交与 tag、CODEOWNERS、必填评审、避免在仓库中存放明文机密(Sealed Secrets、External Secrets、SOPS、Vault 集成)、策略即代码(OPA Gatekeeper、Kyverno)、镜像签名校验(Cosign)、控制器权限最小化和审计日志外发。还必须防止控制器应用未经评审的清单、恶意 Helm Chart 或未签名镜像。配置不当会让攻击者借助一次合并直接全面控制集群。

● 示例

  1. 01

    Argo CD 仅与一条受保护、强制签名的 main 分支进行对账,并通过 Cosign 校验镜像。

  2. 02

    在 Git 中安全存放加密 manifest,通过 Sealed Secrets 实现。

● 常见问题

GitOps 安全 是什么?

针对 GitOps 工作流的安全实践:基础设施与应用的声明式期望状态保存在 Git 中,由自动化控制器持续与生产环境进行对账。 它属于网络安全的 应用安全 分类。

GitOps 安全 是什么意思?

针对 GitOps 工作流的安全实践:基础设施与应用的声明式期望状态保存在 Git 中,由自动化控制器持续与生产环境进行对账。

GitOps 安全 是如何工作的?

GitOps 把 Git 作为唯一真实源,并用 Argo CD、Flux 等工具持续将集群状态调谐到 Git 中。这使安全焦点转向 Git 仓库、提交者身份、Pull Request 控制以及 GitOps 控制器本身。关键实践包括:分支保护、签名提交与 tag、CODEOWNERS、必填评审、避免在仓库中存放明文机密(Sealed Secrets、External Secrets、SOPS、Vault 集成)、策略即代码(OPA Gatekeeper、Kyverno)、镜像签名校验(Cosign)、控制器权限最小化和审计日志外发。还必须防止控制器应用未经评审的清单、恶意 Helm Chart 或未签名镜像。配置不当会让攻击者借助一次合并直接全面控制集群。

如何防御 GitOps 安全?

针对 GitOps 安全 的防御通常结合技术控制与运营实践,详见上方完整定义。

GitOps 安全 还有哪些其他名称?

常见的别称包括: 安全 GitOps。

● 相关术语