在雲原生生態系統快速發展的背景下，安全性已成為各專案不可忽視的核心議題。CNCF（雲原生計算基礎設施）作為推動雲原生技術標準化的關鍵組織，其下屬的技術諮詢小組TAG（Technical Advisory Group for Security）致力於提升生態系統整體安全性。本文聚焦於TAG安全與Open FGA專案的合作實踐，探討其在安全維護者指南中的具體應用與價值。
TAG安全由愛好者、專業人士與研究者組成，透過與CNCF專案直接互動、發布技術指引與白皮書，協助專案改善安全性。其核心目標在於建立可落實的安全標準，並推動雲原生生態系統的長期穩定。
Open FGA是一個基於關係型存取控制（Relationship-Based Access Control）的授權系統，融合角色存取控制（RBAC）與屬性存取控制（ABAC）概念。其設計靈感來自Google內部授權系統Zanzibar，提供可擴展的授權解決方案，包含伺服器、工具鏈與SDK。目前由OCTA領導開發，已納入CNCF沙箱進行孵化評估。
CNCF孵化流程要求專案具備完整的文件、治理機制、社區參與與安全性評估。Open FGA在申請過程中，透過TAG安全倡議完成多項安全改進，包括整合OpenSSF Scorecard工具提升Clo Monitor指標，並取得9.3分評分。此過程強調安全姿態的持續優化，而非一次性解決所有問題。
TAG安全主辦的Security Slam活動以可執行目標為導向，協助專案完成具體安全改進。Open FGA在2023年活動中成為唯一完成所有徽章的專案，透過此活動改善授權引擎邏輯並整合OpenSSF工具。
TAG安全團隊與專案維護者共同進行自我評估與聯合評估，識別潛在風險並制定緩解措施。Open FGA在評估中發現引擎評估錯誤可能導致授權錯誤，最終透過文件更新而非CVE處理此問題，體現安全評估的預備性與實用性。
TAG安全提供雲原生安全白皮書、軟體供應鏈最佳實踐指南與雲原生控制清單等資源，並透過社區演示（Community Demos）促進專案與開發者的深度交流。Open FGA透過短時間簡報與長時間技術對話，持續優化其安全架構與社區參與。
Open FGA專案透過自動化測試覆蓋多種策略組合，持續優化測試用例。面對權限提升漏洞等高風險問題，需深入分析程式碼邏輯與權限控制。AI生成測試用例雖可能產生冗餘，但可作為fuzzing的高階替代方案，需搭配人工驗證測試合理性。
TAG安全倡議使用Scorecard等工具自動化檢查最佳實踐與依賴項問題，並建議針對非影響專案的CVE避免浪費時間。此策略有助於提升專案安全性與可維護性，同時降低人工審查負擔。
TAG安全與Open FGA持續推動自動化工具整合，目標為處理CVE影響分析與依賴項更新。安全流程的持續優化被視為長期戰略，透過定期評估與工具鏈整合，確保專案安全性與生態系統的協同進步。
Open FGA專案透過TAG安全倡議，成功整合安全評估、社區互動與自動化工具，體現雲原生專案在安全性維護上的實踐價值。維護者需重視安全流程的持續優化，並透過技術文件與資源分享，促進生態系統的長期穩定。