P3-WP07 企业生产交付与恢复实施计划

1. 范围与状态边界

本工作包把既有 Compose 离线包、环境剖面、升级前检查、备份/恢复和 P3-WP04 的签名发布经验，扩展为可在本地验证的企业交付工程合同。app/ 与 deployment/app/、migrations/ 与 deployment/migrations/ 继续维持发布副本一致性；现有 WP05/WP06 未提交成果和用户资产均不属于本工作包修改目标。

基础设施输入仍为 TBD_EXTERNAL：目标 Kubernetes/OpenShift、企业制品库及签名证书、SLA、RTO/RPO、变更窗口均未确认。本轮不得把本地 Helm 渲染、Compose 演练或模拟签名表述为真实集群、企业制品库或生产灾备验收。第二轮独立复验后的 Critical 整改已通过全部定向本地门禁，状态恢复为 ENGINEERING_COMPLETE_ENTERPRISE_INFRASTRUCTURE_UAT_BLOCKED；企业基础设施验收仍未开始。

2. 任务分解

P3-WP07-01：交付基线与 Helm 合同：增加离线可渲染 Helm chart、严格 values.schema.json、镜像 digest、Secret 引用、非 root/read-only/drop capabilities/seccomp、探针、资源、PDB、反亲和/拓扑、NetworkPolicy、服务账户及角色初始化/迁移 Job。
P3-WP07-02：签名、SBOM 与不可变晋级：以 digest 为唯一对象建立候选包、审批引用、签名验证提供方、SBOM/漏洞/许可证门禁、漂移检查和回滚指针；默认关闭真实签名/制品库提供方，缺项、伪造或过期均拒绝。
P3-WP07-03：备份、恢复、HA 与兼容性：建立不含明文密钥的批次备份/恢复清单、异地介质与密钥引用合同、恢复到新目标的门禁、故障注入证据、连接池预算/多 worker 无状态合同，以及 base→candidate→rollback 兼容矩阵。
P3-WP07-04：交付证据与台账：形成 Compose-vs-Kubernetes 功能等价/差异、运行手册、故障合同、验证证据、阶段总计划及需求台账更新。

3. 保护文件与约束

不修改既有 WP05/WP06 的 app/、migrations/、deployment/app/、deployment/migrations/ 代码，除非仅做精确副本一致性验证。
保持现有用户改动：.dockerignore、requirements.txt、canvas/、架构图片文档和 EAI Compose/配置文件。
不暂存、提交、推送、部署，不运行全量回归；只运行 P3-WP07 与直接相关的现有 Compose 交付门禁。
备份清单只允许配置与密钥的引用/digest，禁止归档或打印明文 secret；恢复只允许新目标并先验签/兼容/完整性。

4. 验证清单

RED→GREEN 定向合同测试；Helm 等价渲染、JSON Schema、YAML、bash 和 Python 语法验证。
签名/SBOM/许可证/漏洞/审批/漂移/回滚均验证拒绝路径；镜像、制品和证据只允许 digest。
Compose 配置解析和既有离线包/恢复脚本的直接受影响门禁。
发布副本、迁移 head=20260811_495、OpenAPI、manifest、secret scan 和临时验证数据清理。

4.1 Helm hook NetworkPolicy 生命周期契约

dataops-hook-egress 是 pre-install/pre-upgrade hook，权重 -30，先于 role-init/db-migrate（分别为 -20/-10）创建；它仅选择两个 hook Job Pod，且只允许 kube-dns 与 PostgreSQL TCP/UDP 端口。该 policy 使用 before-hook-creation，在本次 hook Job 完成后保留，直至下一次同名 hook 创建前被替换：因此安装和升级均不会依赖普通 release 资源在 Job 之后才出现。该合同仅验证模板排序与生命周期；网络策略控制器的实际生效时序仍须在目标 Kubernetes/OpenShift UAT 中验证。

4.2 最终整改信任与恢复契约

兼容性批准不是任意 JSON：当 base 与 candidate 的 artifact/SBOM 不同时，批准记录必须绑定两侧 artifact/SBOM component identity、三方合同的 digest 与审批引用，并由受控 registry 中预批准的 external signer 验签。默认 external provider 禁用，缺少企业 signer 的本地环境 fail-closed。
production 备份与恢复只接受预批准 external KMS key reference 和 registry signer；manifest 仅记录 provider/key-id/signature，绝不内嵌公钥、trust-root 或动态 self-signing key。fake 只允许显式 --test-only 的非生产工程合同。
restore target 是一次性状态：同一 target 的任何重复请求均拒绝，先前的 restore plan 保留可审计记录，因而没有第二次副作用或隐式 replay。
runtime ServiceAccount 明确使用 .Values.namespace，与 backend/runner 和 Helm release namespace 的 values 覆盖保持一致。
compatibility approval 的 issued_at/expires_at 必须是带 Z 的 UTC RFC3339；时钟偏差最多 5 分钟、有效窗口最多 24 小时，且两字段本身也进入签名 payload。过期、未来、无界或重签旧 approval 均拒绝。
restore 先要求 integrity signature 的 algorithm/provider/key-id 与 manifest signature_provider/ signer_key_id 精确一致，再用相同 registry key 验签固定的 manifest、encryption provider 与 KMS key binding；不同已批准 key 不能替换或重签另一个 key-id 的 manifest。

5. 外部 UAT 清单

目标集群调谐、真实 HA/负载均衡/节点或区域故障转移、企业签名 CA/制品库、批准 SLA 与 RTO/RPO、异地加密介质、变更窗口和客户恢复签字均为 TBD_EXTERNAL，由 P3-WP14 或企业 UAT 收口。

P3_WP07_ENTERPRISE_DELIVERY_IMPLEMENTATION_PLAN.md 5.4 KB 文件歷史 原始文件