Playbook
Playbook：AWS Aurora 公网入口收紧的渐进路径——从 0.0.0.0/0 到零信任
很多团队的生产 Aurora 长期挂着 0.0.0.0/0 全协议规则，加上几条来源不明的 IP 白名单。直接删规则会立刻打断跨 Region 服务和开发者本地调试，于是收紧工作年复一年被推迟。本文给出一条工程化路径：先 …
#零信任
共 10 篇
Playbook
Playbook：自建 Headscale 零信任 Mesh，混合云内网访问的可执行落地方案
数据库公网入口收紧后，开发调试需求仍然真实存在。SSM Port Forwarding 这类临时方案随着资源增加和团队扩大很快变得不可维护。Headscale + Tailscale 提供了一层统一的访问控制：单台 …
网络与安全
Headscale 自建零信任 VPN：跨云多机房内网打通
从 WireGuard 协议原理到 Headscale 完整部署，包括 DERP 自建、Subnet Router 配置、K8s 集成和 ACL 策略设计，用 Mesh VPN 替代传统堡垒机的完整实操指南。
DevSecOps
SLSA 软件供应链等级实施：从 L1 到 L3 的工程化路径
一份 SLSA v1.0 框架的实战落地笔记：讲清楚 Build Track 从 L1 到 L3 的具体要求、用 GitHub Actions 官方 generator 和 Tekton Chains 生成 …
Kubernetes
零信任网络改造：从公网暴露到 Headscale VPN
从发现公网暴露的安全隐患开始，到用 Headscale 自建零信任网络，替代跳板机体系，实现 kubectl 和运维系统的 VPN 接入。
安全
密钥自动轮换实战：Vault、AWS Secrets Manager 与 SOPS 的工程化方案
一份来自生产环境的密钥轮换实战笔记：对比 Vault dynamic secret、AWS Secrets Manager 原生 rotation、SOPS + GitOps 三种方案的适用场景，给出数据库、Kafka …
零信任
用 WireGuard 构建多云 mesh VPN：从点对点到全网互联
一份从实战出发的 WireGuard mesh VPN 笔记：讲清楚为什么不用 IPSec/OpenVPN、手写配置 vs Netmaker vs Tailscale 的选型对比、AWS 与阿里云跨云 mesh 的真实部 …
零信任
Cilium NetworkPolicy 与 L7 过滤生产落地实战
一份基于 Cilium 1.16+ 的生产落地笔记：讲清楚 Kubernetes NetworkPolicy 的局限、CiliumNetworkPolicy 的扩展能力、L7 HTTP/Kafka/DNS 过滤的真实用法 …