变更审计链是什么
谁在何时把什么制品发布到哪个环境、依据哪次审批——把这几个问题用系统自动留痕串成一条链，就是变更审计链。它由流水线运行记录、制品库元数据、部署事件表与审批工单共同构成，支撑合规检查与事故回溯。人工补录的记录可信度有限，关键是把记录动作做进流水线本身。
基本信息
| 要素 | 操作人或服务账号、时间、制品摘要、环境、审批与豁免记录 |
|---|---|
| 载体 | 流水线记录、制品库元数据、部署事件表、审批工单 |
| 要求 | 可校验、尽量不可篡改，保留期满足合规要求 |
| 关联 | 与事故、复盘、变更冻结记录互相可查 |
| 制品锚点 | 用镜像摘要（sha256）而非浮动标签做唯一标识 |
| 自动化落点 | 部署脚本运行时自动写记录，不依赖人补 |
记录字段示例
记录字段示例
deploy_id: 20261012-0042 # 部署唯一编号
artifact: registry/app@sha256:9f2c... # 制品摘要锚点
env: prod # 目标环境
actor: deploy-bot # 执行者（服务账号）
author: alice # 变更发起人
approval: mr-1042#note-3 # 审批出处
result: success # 执行结果典型使用场景
- 合规检查：审计人员按链还原某次变更的全部要素
- 事故回溯：定位故障版本、发布窗口与当时的审批依据
- 四眼原则落地：证明执行的制品正是被批准的制品
- 豁免追踪：门禁绕过记录与后续补偿动作挂同一条链
- 权限治理：服务账号的操作也能追溯到具体发起人
- 发布复盘：用历史记录统计审批时长与常见卡点
审计要素与证据来源
| 问题 | 证据来源 | 备注 |
|---|---|---|
| 谁操作 | 流水线执行者与发起人字段 | 区分服务账号与自然人 |
| 何时 | 部署事件时间戳 | 与监控标记对时 |
| 什么制品 | 镜像摘要或制品哈希 | 不用浮动标签 |
| 哪个环境 | 环境字段与集群记录 | 多环境要能区分 |
| 依据审批 | 工单或合并请求链接 | 审批与执行可互查 |
审批记录与部署记录必须能对上：无法证明执行的正是被批准的那个制品，审计链就断了。
手工补录的记录可信度低：能自动写就不要靠人填，补录要标注来源。
保留期提前对齐合规要求，存储成本别到最后才评估。