Kubernetes 安全与权限
Kubernetes 安全涉及身份、权限、准入、运行时和供应链多个层面。本分类覆盖 RBAC、ServiceAccount、Pod Security Admission、SecurityContext、Seccomp/AppArmor/SELinux，以及 Falco、Trivy、Kyverno、OPA Gatekeeper、Kubescape 等策略与扫描工具。
- admission-webhook - 动态准入控制,Mutating与Validating Webhook
- apparmor - 基于路径的强制访问控制,Kubernetes 中通过 securityContext.appArmorProfile 配置
- audit-log - API Server审计日志,记录谁在何时对集群做了什么
- cert-manager - Kubernetes证书管理控制器,自动完成TLS证书的签发、续期与轮换
- cert-rotation - Kubernetes集群证书轮换,涵盖kubeadm证书续期、kubelet证书自动轮换与CA替换
- checkov - 对Terraform、Kubernetes、Helm等基础设施即代码做策略扫描的工具
- confidential-containers - 在 Kubernetes 上运行机密容器,用硬件 TEE 保护内存中的敏感数据
- conftest - 用rego策略对Kubernetes清单等结构化配置做合规校验
- cosign - Sigstore容器镜像签名与验签工具
- datree - 已停运的Kubernetes清单策略校验CLI,仅离线模式可用
- falco - 云原生运行时安全检测工具,基于系统调用实时发现容器内的异常行为
- gatekeeper - 基于OPA的Kubernetes准入控制器,用ConstraintTemplate与Constraint两层CRD落地策略
- kube-bench - CIS Kubernetes安全基线自动检查工具
- kube-hunter - Kubernetes集群安全弱点自查工具(已停止开发)
- kube-linter - 对Kubernetes清单、Helm与Kustomize做静态检查的lint工具
- kube-score - 对Kubernetes清单做可靠性与安全性的静态评分
- kubeaudit - 按安全控制项审计Kubernetes集群与清单的检查工具
- kubeconform - 快速校验Kubernetes清单的schema正确性
- kubescape - 按NSA/CISA、MITRE等安全框架扫描Kubernetes集群与清单的合规工具
- kubesec - 给Kubernetes清单打安全风险分的静态分析工具
- kubeval - 校验Kubernetes清单是否符合指定版本的schema
- kubewarden - Kubewarden 策略引擎
- kyverno - Kubernetes原生策略引擎,以资源形式校验、变更与生成集群对象
- opa - 通用策略引擎,用Rego声明式语言把策略决策从应用代码中解耦出来
- pluto - 扫描清单与集群中已废弃或已移除的apiVersion
- pod-security-admission - Kubernetes内置的Pod安全准入控制,按命名空间强制安全基线
- polaris - Kubernetes工作负载配置的最佳实践体检工具
- popeye - 只读扫描集群中已部署资源的健康与配置问题
- rbac - Kubernetes基于角色的访问控制授权机制
- rbac-police - rbac-police RBAC 风险审计
- seccomp - 限制容器可用系统调用的内核安全机制,Kubernetes 中通过 securityContext 配置
- securitycontext - Pod与容器级安全上下文,控制运行用户、能力与权限
- selinux-k8s - 在 Kubernetes 中配置 SELinux 标签,以及卷标签带来的性能与兼容问题
- serviceaccount - Kubernetes服务账户与Pod身份认证
- spiffe - 工作负载身份的标准规范,用SPIFFE ID与SVID取代静态密钥
- spire - SPIFFE运行时环境,为工作负载签发与轮换短期身份凭证的参考实现
- tetragon - Tetragon eBPF 安全可观测性
- trivy - 容器镜像与Kubernetes集群的漏洞、配置与密钥扫描工具
- trivy-operator - 在集群内持续扫描工作负载并把结果写成CRD的Kubernetes Operator