用途
该技能用于实施结构化的变更管理流程，覆盖变更分类、CAB 工作流、紧急变更程序，以及面向 SOC 2、ITIL 和监管框架合规的自动化。适用于管理生产环境变更的场景。
主要能力
- 变更分类：将变更划分为标准、普通低风险、普通中风险、普通高风险和紧急五类，每类定义风险等级、审批方式、提前期、示例和所需条件。
- 变更请求模板：提供包含元数据、描述、风险评估、实施、测试、回滚、沟通、审批和关闭等字段的完整模板。
- CAB 工作流：定义会议安排、CAB 成员（常设与顾问）、议程和决策标准（批准、要求修改、拒绝的条件）。
- 紧急变更程序：定义紧急变更的声明、批准、实施、验证、文档和审查六个步骤，包括审批方式、超时升级和 48 小时内补全文档的要求。
- Pull Request 模板：用于变更请求的 PR 模板，包含类型、描述、风险评估、测试证据、回滚计划、部署计划、部署后验证、沟通和所需审批等检查项。
- CI/CD 变更跟踪自动化：提供一个 GitHub Actions 工作流示例，用于列出变更路径以供人工风险审查。
- 变更冻结策略、度量指标和检查清单：资料目录中列出这些内容。
使用方式
资料以文档形式提供指导、模板和检查清单。用户可参考其中的变更分类、模板、工作流和检查清单来建立或完善自身的变更管理流程。CI/CD 自动化部分提供了一个 GitHub Actions 工作流示例，用于在 pull_request 事件中列出变更路径，供人工风险审查。
适用场景
- 为生产环境建立变更管理流程
- 实施变更咨询委员会（CAB）工作流
- 定义变更分类和审批要求
- 在 CI/CD 管道中配置自动化变更跟踪
- 处理紧急变更并确保适当的控制和文档
限制
- 仅为指导和检查清单，不构成法律建议，也不能替代合格审计师。
- 纯文档导入：上游模板和脚本未随附。
- 资料中的审批数量、时间线、会议日期和保留期限均为示例组织策略，并非通用 ITIL/SOC2 要求。
- 对于不可逆的数据变更，回滚可能不安全：应定义前向恢复、恢复验证和决策归属。
- CI/CD 自动化示例仅执行建议性文件分类，不授权变更或强制审查者资格；文件名启发式无法决定实际风险。应使用受保护分支规则和独立的精确头部策略来要求必需、唯一、当前的审批；历史审查计数可能包含已被取代、过时或作者本人的审查。
- 该工作流既不检出也不执行 fork 代码，不需要写令牌或 pull_request_target。仅应通过单独授权的可信流程以精确权限添加标签。推送到 main 是源事件，不是生产部署的证明。仅在实际部署和所需验证成功后，才发出持久的部署记录；绑定环境、制品摘要、提交、作业/运行/尝试、审批者和时间戳。失败/部分部署必须保留其真实状态，而非 deployed。证据应保存在经批准的受限审计存储中，而非临时的 /tmp 文件。