解读

在性能测试工程师的视角下，镜像签名验证失败不仅是安全事件，更是“部署链性能”与“稳定性”的阻塞点。国内金融、运营商、政务云等生产环境普遍要求“先签名、后拉取”，一旦验签失败，CI/CD 流水线必须秒级阻断，否则空转 Pod 会挤占集群资源，造成不必要的压测噪声，甚至把无效镜像刷入节点缓存，影响后续真实性能基线。因此，回答要体现两层能力：

1. 阻断动作必须“零窗口”，让压测资产（并发用户、数据脚本、监控探针）不被污染；
2. 定位签名源要“分钟级”，把问题从安全域拉到性能域，快速恢复可压测状态。

知识点

1. 镜像签名机制：Harbor Notary、Cosign、阿里云 ACR 签名服务、腾讯 TCR 透明签名，国内主流仓库均支持 CNCF 的 OCI distribution-spec。
2. 验签卡点：Kubernetes 准入控制器（Admission Controller）、OPA Gatekeeper、Kyverno、ACK/TKE 集群的“镜像策略”插件。
3. 阻断策略：
   • 软阻断：修改 Deployment.spec.paused=true，让 ArgoCD/Flux 停止同步；
   • 硬阻断：返回 4xx 给 kubelet，使 Pod 无法进入 ContainerCreating 状态。
4. 定位数据链：镜像摘要（digest）、签名证书序列号、Notary 元数据中的 timestamp、仓库审计日志、操作者 AccessKey。
5. 性能侧影响：无效 Pod 会占用 cgroup、触发 CNI 网段 ARP 风暴、污染本地镜像缓存（overlayfs 层），导致后续压测 I/O 基线偏高。

答案

“我会把阻断和定位做成一个‘性能守护’闭环，分三步走，全程不超过 3 分钟。
第一步，秒级阻断。我们在集群里统一启用了 Kyverno 策略，验签失败直接返回 403 给 kubelet，Pod 无法调度；同时让 CI 侧的 ArgoCD 暂停同步，防止重试风暴。为了不给压测集群增加额外调度延迟，策略里加了 namespace 标签过滤，只阻断待压测的灰度 NS，保留系统组件运行。
第二步，快速定位签名源。把镜像 digest 拿到后，先去 Harbor 的‘签名’页签查 Notary 元数据，看是哪一套证书签的；如果证书 SN 不在白名单，再比对审计日志里最近 30 分钟 push 记录，找到 AccessKey 对应的人。整个过程用一条脚本串行调用 Harbor API、LDAP 接口，30 秒出结果。
第三步，恢复压测基线。确认是误签后，让开发重新 cosign 并追加 tlog（透明日志），新镜像 digest 一旦推送到仓库，脚本自动修改 Deployment 的镜像字段，并解除 paused，同时清理节点上旧的无效层，避免 overlayfs 复用导致磁盘 I/O 基线漂移。全程用 Prometheus 记录 kubelet 镜像拉取耗时，确保恢复后冷启动时间回到压测基线 1.2 秒以内。”

拓展思考

如果签名验证频繁失败，说明“证书轮换”或“多仓库同步”策略有缺陷，性能团队可以把失败事件作为 SLO burn rate 的输入，换算成“无效调度 CPU 秒”浪费，量化对压测并发度的影响，反向推动安全团队缩短 CRL 更新周期。更进一步，可在压测脚本里预埋“恶意镜像”故障注入，观察阻断策略是否能在高并发拉取场景下保持 O(1) 的准入延迟，从而验证集群在“签名风暴”中的稳定性。