引言：云原生安全的挑战与机遇
云原生技术（如Kubernetes、Docker、微服务架构）正在重塑现代应用的开发和部署方式。然而，这种转变也带来了新的安全挑战。传统的边界安全模型（如防火墙）在动态、分布式的云原生环境中变得无效。攻击面从单一的服务器扩展到容器镜像、注册表、编排系统、网络策略以及运行时的每个微服务。
本文将深入探讨云原生安全的全方位防护策略，覆盖从容器镜像构建到运行时监控的整个生命周期。我们将提供详细的落地指南，包括具体的配置示例和代码片段，帮助您构建一个安全的云原生环境。
第一部分：容器镜像安全（构建时防护）
容器镜像是云原生应用的基础单元。确保镜像的安全性是防护的第一道防线。主要关注点包括：使用安全的基础镜像、扫描漏洞、最小化攻击面以及签名和验证。
1.1 使用最小化且可信的基础镜像
主题句
：选择一个经过验证的、最小化的基础镜像可以显著减少潜在的漏洞数量。
支持细节
：
避免使用
latest
标签，因为它可能指向不安全的版本。
优先考虑 Alpine Linux 或 Distroless 镜像，它们只包含运行应用所需的最少文件。
示例 Dockerfile
：
# 不推荐：使用包含大量工具的通用镜像
# FROM ubuntu:20.04
# 推荐：使用最小化的 Alpine 镜像
FROM alpine:3.18
# 仅安装必要的包
RUN apk add –no-cache python3 py3-pip
# 设置工作目录并复制应用代码
WORKDIR /app
COPY . .
# 安装 Python 依赖
RUN pip install –no-cache-dir -r requirements.txt
# 使用非 root 用户运行
RUN addgroup -g 1000 appuser && \
adduser -D -u 1000 -G appuser appuser
USER appuser
CMD [“python3”, “app.py”]
1.2 镜像漏洞扫描
主题句
：在 CI/CD 流水线中集成镜像扫描工具，确保在部署前发现并修复已知漏洞。
支持细节
：
常用工具：Trivy, Clair, Anchore, Snyk。
设置阈值：当发现高危（High）或严重（Critical）漏洞时，阻断构建流程。
落地指南（GitLab CI 示例）
：
在
.gitlab-ci.yml
中添加扫描阶段：
stages:
– build
– test
– security_scan
– deploy
build_image:
stage: build
script:
– docker build -t my-app:$CI_COMMIT_SHA .
– docker tag my-app:$CI_COMMIT_SHA registry.example.com/my-app:$CI_COMMIT_SHA
scan_image:
stage: security_scan
image: aquasec/trivy:latest
script:
# 扫描镜像，如果发现高危漏洞则失败
– trivy image –exit-code 1 –severity HIGH,CRITICAL my-app:$CI_COMMIT_SHA
allow_failure: false
1.3 镜像签名与验证
主题句
：通过数字签名确保部署的镜像未被篡改且来自可信来源。
支持细节
：
使用 Docker Content Trust (DCT) 或 Notary (CNCF 项目)。
在 Kubernetes 中，可以使用 Admission Controller（如 Kyverno 或 OPA Gatekeeper）强制要求镜像签名。
落地指南（使用 Notary 签名）
：
初始化 Notary 客户端并生成密钥。
推送并签名镜像：
docker push my-registry.com/my-app:1.0
notary -s https://notary-server:443 add my-registry.com/my-app 1.0 –publish
在 Kubernetes Pod 定义中，配置
imagePullPolicy: Always
并结合 Admission Controller 验证签名。
第二部分：注册表与供应链安全
主题句
：容器注册表是镜像的存储中心，必须保护其访问权限并监控其中的内容。
2.1 访问控制 (RBAC)
支持细节
：
为不同的团队或服务账户分配最小权限。
使用 OIDC (OpenID Connect) 集成身份提供商（如 Keycloak, Okta）。
落地指南（Harbor 注册表 RBAC 配置）
：
Harbor 是一个开源的云原生注册表。
创建项目
finance-app
。
创建用户
dev-user
并赋予
Developer
角色，允许其推送/拉取镜像。
创建用户
auditor-user
并赋予
Guest
角色，仅允许查看镜像。
2.2 镜像防篡改与漏洞阻断
支持细节
：
配置注册表策略，自动阻止包含严重漏洞的镜像被推送或拉取。
落地指南（Harbor 策略配置）
：
在 Harbor UI 中，进入项目 -> 配置 -> 配置扫描器 -> 阻止漏洞镜像。
设置 “Prevent vulnerable images from running.”
阀值设为 “Critical” 或 “High”。
第三部分：Kubernetes 集群安全加固
主题句
：Kubernetes 作为编排核心，其配置直接决定了整个集群的安全性。
3.1 API Server 安全
支持细节
：
禁用匿名访问：
–anonymous-auth=false
。
启用 RBAC：确保所有请求都经过授权。
开启审计日志：记录所有 API 调用。
落地指南（kube-apiserver 配置片段）
：
# kube-apiserver 配置
spec:
containers:
– command:
– kube-apiserver
– –authorization-mode=RBAC
– –anonymous-auth=false
– –audit-policy-file=/etc/kubernetes/audit-policy.yaml
– –audit-log-path=/var/log/kubernetes/audit.log
审计策略示例 (
audit-policy.yaml
)
：
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
# 记录 Secret 的访问
– level: RequestResponse
resources:
– group: “”
resources: [“secrets”]
# 记录 Pod 的删除操作
– level: Metadata
verbs: [“delete”]
resources:
– group: “”
resources: [“pods”]
3.2 Pod 安全策略 (PSP) / Pod 安全标准 (PSS)
主题句
：限制 Pod 的权限，防止容器逃逸。
支持细节
：
PSP (已弃用，但在旧版本中常见)
：限制 Root 运行、挂载宿主机路径等。
PSS (Kubernetes v1.23+ 推荐)
：定义了三个级别：Privileged, Baseline, Restricted。
落地指南（使用 OPA Gatekeeper 强制执行 PSS Restricted 策略）
：
首先安装 Gatekeeper，然后应用 ConstraintTemplate 和 Constraint。
ConstraintTemplate (禁止 Root 用户)
：
apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
name: k8spsccomplex
spec:
targets:
– target: admission.k8s.gatekeeper.sh
rego: |
package k8spsccomplex
violation[{“msg”: msg, “details”: {}}] {
c := input_containers[_]
c.securityContext.runAsUser == 0
msg := sprintf(“Container %v is not allowed to run as root”, [c.name])
}
input_containers[c] {
c := input.review.object.spec.containers[_]
}
Constraint (应用该策略)
：
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sPSCComplex
metadata:
name: no-root-user
spec:
match:
kinds:
– apiGroups: [“”]
kinds: [“Pod”]
3.3 网络策略 (Network Policies)
主题句
：实施零信任网络，默认拒绝所有流量，仅允许必要的通信。
支持细节
：
Kubernetes Network Policies 是原生的防火墙。
需要支持 CNI 插件（如 Calico, Cilium, Weave）。
落地指南（拒绝所有入站流量，仅允许 API 调用）
：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: default-deny-ingress
namespace: production
spec:
podSelector: {}
policyTypes:
– Ingress
—
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: allow-api-access
namespace: production
spec:
podSelector:
matchLabels:
app: api-server
policyTypes:
– Ingress
ingress:
– from:
– namespaceSelector:
matchLabels:
name: frontend
ports:
– protocol: TCP
port: 8080
第四部分：运行时安全（Runtime Security）
主题句
：即使经过了严格的构建和部署检查，运行时环境仍需持续监控，以检测异常行为和零日攻击。
4.1 Falco：运行时威胁检测
主题句
：Falco 是 CNCF 项目，用于检测容器内的异常行为。
支持细节
：
Falco 使用系统调用（Syscall）监控。
可以检测如
cat /etc/shadow
、
mount
挂载敏感目录等行为。
落地指南（部署 Falco 并编写自定义规则）
：
部署 Falco
（使用 Helm）：
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco
编写自定义规则
（检测敏感文件读取）：
创建
falco_rules.local.yaml
：
“`yaml
rule: Read Sensitive File Untrusted
desc: “Detect reading sensitive files (e.g., shadow) by non-root users or unexpected processes.”
condition: >
(open_read or open_file) and
(fd.name in (/etc/shadow, /etc/sudoers)) and
(not user_known_read_sensitive_files or proc.name not in (user_known_read_sensitive_files))
output: “Sensitive file read (user=%user.name command=%proc.cmdline file=%fd.name)”
priority: WARNING
”`
4.2 可执行文件完整性监控
主题句
：防止攻击者在容器内植入恶意二进制文件。
落地指南
：
可以使用 Falco 或 Tripwire 监控关键目录。
Falco 规则示例
：
– rule: Write below etc
desc: “Detect writing to /etc directory (excluding trusted writers).”
condition: >
open_write and
fd.name startswith /etc and
proc.name not in (user_known_write_etc_procs, dpkg, rpm, yum, apt-get)
output: “File below /etc opened for writing (user=%user.name command=%proc.cmdline file=%fd.name)”
priority: WARNING
第五部分：Secrets 管理
主题句
：绝不要在镜像或配置文件中硬编码敏感信息。
5.1 外部 Secrets 存储
支持细节
：
使用 HashiCorp Vault、AWS Secrets Manager 或 Azure Key Vault。
使用 CSI (Container Storage Interface) 驱动将 Secrets 挂载到 Pod。
落地指南（使用 External Secrets Operator）
：
安装 Operator：
helm repo add external-secrets https://charts.external-secrets.io
helm install external-secrets external-secrets/external-secrets -n external-secrets –create-namespace
定义 SecretStore（连接 Vault）：
apiVersion: external-secrets.io/v1beta1
kind: SecretStore
metadata:
name: vault-backend
namespace: default
spec:
provider:
vault:
server: “http://vault:8200”
path: “secret”
auth:
tokenSecretRef:
name: vault-token
key: token
获取 Secret 并注入 Pod：
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
name: db-credentials
spec:
refreshInterval: 1h
secretStoreRef:
name: vault-backend
kind: SecretStore
target:
name: db-secret
data:
– secretKey: username
remoteRef:
key: database/creds
property: username
– secretKey: password
remoteRef:
key: database/creds
property: password
第六部分：CI/CD 安全流水线落地
主题句
：将安全检查左移到开发阶段，实现 “Security as Code”。
6.1 完整的 GitLab CI/CD 安全流水线示例
支持细节
：
该流水线包含：代码扫描、依赖扫描、容器扫描、IaC 扫描（Terraform/K8s YAML）和部署前的准入控制。
完整
.gitlab-ci.yml
示例
：
stages:
– validate
– build
– security_scan
– deploy
# 1. 基础设施即代码扫描 (Checkov)
validate_iac:
stage: validate
image: bridgecrew/checkov:latest
script:
– checkov -d . –framework kubernetes
# 2. 构建容器镜像
build_image:
stage: build
script:
– docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA .
– docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
# 3. 安全扫描 (Trivy)
scan_container:
stage: security_scan
image: aquasec/trivy:latest
script:
# 扫描漏洞
– trivy image –exit-code 1 –severity HIGH,CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
# 扫描机密信息 (Secrets)
– trivy fs –security-checks secret –exit-code 1 .
# 4. 镜像签名 (Cosign)
sign_image:
stage: security_scan
image: bitnami/cosign:latest
variables:
COSIGN_PASSWORD: “$COSIGN_PASSWORD”
script:
– cosign sign –key env://COSIGN_PRIVATE_KEY $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
rules:
– if: $CI_COMMIT_BRANCH == “main”
# 5. 部署到 Kubernetes (配合准入控制)
deploy_prod:
stage: deploy
image: bitnami/kubectl:latest
script:
– kubectl apply -f k8s-manifests/
environment:
name: production
rules:
– if: $CI_COMMIT_BRANCH == “main”
第七部分：总结与落地路线图
构建全方位的云原生安全体系是一个持续的过程，而非一次性项目。建议按照以下路线图落地：
基础加固
：确保 Kubernetes 集群配置符合 CIS Benchmark 标准，启用 RBAC 和审计日志。
镜像治理
：在 CI/CD 中强制实施漏洞扫描，禁止高危镜像上线。
零信任网络
：逐步应用 Network Policies，实现微服务间的最小权限通信。
运行时保护
：部署 Falco 监控异常行为，结合 Sysdig 或 Aqua Security 进行可视化。
Secrets 治理
：迁移所有硬编码凭据至 Vault 或外部 Secrets 管理系统。
通过遵循这些策略，您可以将安全融入到云原生应用的每一个环节，实现从开发到运行时的闭环防护。