23、Kubernetes 镜像安全与策略治理

Kubernetes 镜像安全与策略治理

1. 镜像安全

Pod 安全的另一个重要部分是确保 Pod 内的代码和应用程序的安全。保障应用程序代码的安全是一个复杂的话题，不过容器镜像安全的基础包括确保容器镜像仓库对已知的代码漏洞进行静态扫描。此外，还应该有一个用于运行时扫描的工具，该工具可以识别镜像开始运行后发现的漏洞，并查找潜在的恶意活动，如入侵。开源和商业公司都提供了许多扫描工具。

除了安全扫描，专注于最小化容器镜像的内容以去除不必要的依赖项，可以减少扫描时的干扰。最后，镜像安全也是投资持续交付的一个重要原因，这样在发现漏洞时可以快速修补和重新部署镜像。

镜像安全要点总结

• 静态扫描：确保容器镜像仓库对已知代码漏洞进行静态扫描。
• 运行时扫描：使用工具进行运行时扫描，识别新发现的漏洞和潜在恶意活动。
• 最小化内容：减少容器镜像中的不必要依赖项。
• 持续交付：便于快速修补和重新部署镜像。

2. 策略与治理的重要性

在 Kubernetes 集群中，资源数量会随着应用的发展从几个迅速增长到成百上千个，管理这些资源面临着巨大挑战。策略是一组关于如何配置 Kubernetes 资源的约束和条件，治理则提供了验证和执行组织策略的能力，确保所有部署到 Kubernetes 集群的资源遵循当前最佳实践、安全策略或公司规范。

常见策略示例

• 所有容器必须仅来自特定的容器镜像仓库。
• 所有 Pod 必须标有部门名称和联系信息。
• 所有 Po