容器安全建设检查清单

使用方式

容器安全覆盖供应链、镜像、运行时、网络、权限、密钥和检测七个层面。按“先降低攻击面，再建立检测能力”的顺序推进；不要一次性开启所有拦截策略，先在审计模式观察。

每个季度按清单复核一次，重点关注新镜像、新权限和新入口。

检查清单

1. 供应链

• 基础镜像来自可信来源，固定版本或 digest。
• 构建过程可复现，依赖锁定并做漏洞扫描。
• 镜像签名（Cosign/Notation）并验证。
• SBOM 已生成并归档。
• CI 凭证最小权限，禁止长期 token。

2. 镜像与仓库

• 私有仓库开启认证、漏洞扫描和保留策略。
• 禁止 latest 标签，生产使用不可变 tag/digest。
• 镜像扫描结果有阈值和阻断策略。
• 仓库有复制和备份，避免单点。
• 定期清理旧镜像和悬空层。

3. 运行时

• 容器以非 root 运行，设置 runAsNonRoot。
• 禁用特权模式、hostNetwork、hostPID、hostPath。
• 丢弃不必要 capabilities，只保留 NET_BIND_SERVICE 等。
• 启用 seccomp、AppArmor/SELinux。
• 只读根文件系统，必要时挂载临时目录。
• 评估 gVisor/Kata 等隔离运行时。

4. 网络

• 默认拒绝的 NetworkPolicy，按需放行。
• 入口网关有 TLS、WAF、限流和访问日志。
• 出站流量有白名单或代理，避免数据外泄。
• 服务间 mTLS（Istio/Linkerd/SPIFFE）。
• DNS 和元数据服务访问受控。

5. 权限与密钥

• RBAC 最小权限，避免通配符和长期 cluster-admin。
• ServiceAccount 按工作负载独立，禁用自动挂载 token。
• Secret 不落明文 Git，使用 External Secrets/Vault/Sealed Secrets。
• 密钥有轮换和吊销流程。
• 审计日志开启并集中存储。

6. 准入与策略

• Pod Security Admission 或 Kyverno/Gatekeeper 已启用。
• 策略覆盖特权容器、hostPath、latest、资源限制。
• 策略先 Audit 后 Enforce，有例外审批。
• 策略变更有测试和回滚路径。
• 策略报告有负责人和修复 SLA。

7. 检测与响应

• 运行时检测（Falco/Tetragon）覆盖异常 exec、文件访问和网络连接。
• 告警接入 SIEM/on-call，分级明确。
• 有容器逃逸、挖矿、横向移动的应急预案。
• 定期做红蓝对抗和恢复演练。
• 事故复盘能追溯到镜像、配置和发布记录。

常见误区

• 只扫描镜像，不管运行时行为和网络出口。
• 为了省事给所有 Pod privileged: true。
• 策略一开始就 Enforce，误伤业务后整体关闭。
• Secret 加密存储但挂载到所有 Pod，权限仍然过大。
• 认为托管 Kubernetes 的安全由云厂商全权负责。
• 没有 SBOM 和签名，供应链攻击无法追溯。

相关条目

• trivy、grype、syft、cosign
• pod-security-admission、kyverno、gatekeeper
• falco、tetragon、kubescape
• networkpolicy、istio、spiffe、spire
• rbac、serviceaccount、external-secrets、sops
• k8s-production-checklist、build-kyverno-policies