## 镜像相关威胁
– 基础镜像漏洞：使用了有漏洞的基础镜像
– 恶意代码：镜像中包含恶意代码
– 配置错误：镜像配置不当导致安全问题
– 敏感信息泄露：镜像中包含敏感信息

## 运行时威胁
– 容器逃逸：容器突破隔离，访问宿主机
– 权限提升：容器内的进程获取更高权限
– 资源耗尽：容器消耗过多资源，影响其他容器
– 网络攻击：通过网络攻击容器

## 网络威胁
– 网络隔离失效：容器之间的网络隔离失效
– 端口暴露：不必要的端口暴露
– 网络嗅探：网络流量被嗅探
– DDoS攻击：容器遭受DDoS攻击

## 存储威胁
– 数据泄露：容器数据泄露
– 存储卷权限：存储卷权限配置不当
– 数据持久化：数据持久化不当导致安全问题

## 配置威胁
– 错误配置：安全配置错误
– 默认密码：使用默认密码
– 密钥泄露：密钥和凭证泄露
– 权限配置：权限配置不当

## 镜像安全策略
– 使用官方基础镜像：选择官方或可信的基础镜像
– 定期更新镜像：定期更新基础镜像和依赖
– 镜像扫描：使用镜像扫描工具，检测安全漏洞
– 镜像签名：对镜像进行签名，确保完整性
– 最小化镜像：移除不必要的组件，减少攻击面

## 运行时安全策略
– 最小权限：使用非root用户运行容器
– 限制资源：设置CPU和内存限制
– 网络隔离：使用网络策略限制容器网络访问
– 安全上下文：配置Pod安全上下文
– 运行时监控：监控容器的运行状态

## 网络安全策略
– 网络策略：配置网络策略，限制容器间通信
– 服务暴露：只暴露必要的端口
– 网络加密：对网络通信进行加密
– 防火墙：配置防火墙规则
– 入侵检测：部署入侵检测系统

## 存储安全策略
– 存储加密：对存储数据进行加密
– 权限控制：设置适当的存储权限
– 数据备份：定期备份数据
– 存储隔离：隔离不同应用的存储
– 敏感数据：使用Secret管理敏感数据

## 配置安全策略
– 配置管理：使用ConfigMap管理配置
– 密钥管理：使用Secret管理密钥
– 安全配置：遵循安全配置最佳实践
– 审计日志：启用审计日志
– 定期检查：定期检查安全配置

## 镜像构建策略
– 使用Dockerfile：编写规范的Dockerfile
– 多阶段构建：使用多阶段构建减少镜像大小
– 缓存优化：优化Dockerfile，利用缓存
– 构建参数：使用构建参数，避免硬编码
– 构建环境：在安全的环境中构建镜像

## 镜像版本策略
– 版本命名：使用语义化版本命名
– 标签管理：合理使用标签，避免使用latest标签
– 版本控制：使用版本控制系统管理Dockerfile
– 镜像清理：定期清理未使用的镜像
– 镜像保留：保留必要的镜像版本

## 镜像分发策略
– 镜像仓库：使用私有镜像仓库
– 镜像同步：在多个环境间同步镜像
– 镜像拉取：配置镜像拉取策略
– 镜像验证：验证镜像的完整性和签名
– 分发网络：优化镜像分发网络

## 镜像扫描策略
– 扫描工具：选择合适的镜像扫描工具
– 扫描频率：定期扫描镜像
– 漏洞管理：管理扫描发现的漏洞
– 扫描集成：将扫描集成到CI/CD流程
– 扫描报告：生成扫描报告，跟踪漏洞修复

## 镜像存储策略
– 存储容量：规划镜像仓库的存储容量
– 存储备份：备份镜像仓库
– 存储加密：对镜像存储进行加密
– 存储优化：优化镜像存储，减少存储占用
– 存储监控：监控镜像存储的使用情况

## 仓库选择
– 私有仓库：使用私有镜像仓库，如Harbor、Docker Registry
– 云仓库：使用云厂商提供的镜像仓库服务
– 混合仓库：结合私有仓库和云仓库
– 镜像缓存：在边缘节点部署镜像缓存

## 仓库配置
– 认证配置：配置仓库认证
– 访问控制：设置仓库访问控制
– 存储配置：配置仓库存储
– 网络配置：配置仓库网络
– 高可用：配置仓库高可用

## 仓库安全
– 传输加密：使用HTTPS传输
– 访问控制：基于角色的访问控制
– 镜像签名：验证镜像签名
– 审计日志：启用仓库审计日志
– 漏洞扫描：集成漏洞扫描

## 仓库运维
– 监控：监控仓库的运行状态
– 备份：定期备份仓库数据
– 清理：定期清理未使用的镜像
– 升级：定期升级仓库版本
– 容量管理：管理仓库存储容量

## 仓库集成
– CI/CD集成：集成到CI/CD流程
– 镜像构建：与镜像构建工具集成
– 容器编排：与Kubernetes等容器编排工具集成
– 安全工具：与安全扫描工具集成
– 监控工具：与监控工具集成

## 1. 使用安全的基础镜像
$ docker pull alpine:latest
$ docker pull debian:stable-slim

## 2. 编写安全的Dockerfile
$ cat > Dockerfile << EOF FROM alpine:latest # 安装必要的包 RUN apk add --no-cache nginx # 创建非root用户 RUN adduser -D -u 1000 nginx-user # 切换到非root用户 USER nginx-user # 暴露端口 EXPOSE 80 # 启动Nginx CMD ["nginx", "-g", "daemon off;"] EOF ## 3. 构建镜像 $ docker build -t fgedu/nginx:v1 . ## 4. 扫描镜像 $ docker scan fgedu/nginx:v1 ## 5. 签名镜像 $ docker trust sign fgedu/nginx:v1 ## 6. 推送镜像到私有仓库 $ docker tag fgedu/nginx:v1 registry.fgedu.net.cn/fgedu/nginx:v1 $ docker push registry.fgedu.net.cn/fgedu/nginx:v1 ## 7. 配置Kubernetes使用私有仓库 $ kubectl create secret docker-registry regcred --docker-server=registry.fgedu.net.cn --docker-username=admin --docker-password=admin123 --docker-email=admin@fgedu.net.cn $ kubectl apply -f - << EOF apiVersion: apps/v1 kind: Deployment metadata: name: nginx namespace: default spec: replicas: 3 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: imagePullSecrets: - name: regcred containers: - name: nginx image: registry.fgedu.net.cn/fgedu/nginx:v1 resources: requests: cpu: "100m" memory: "256Mi" limits: cpu: "500m" memory: "512Mi" ports: - containerPort: 80 securityContext: runAsNonRoot: true runAsUser: 1000 runAsGroup: 1000 EOF

## 1. 配置Pod安全上下文
$ kubectl apply -f – << EOF apiVersion: apps/v1 kind: Deployment metadata: name: secure-app namespace: default spec: replicas: 3 selector: matchLabels: app: secure-app template: metadata: labels: app: secure-app spec: containers: - name: secure-app image: fgedu/secure-app:v1 resources: requests: cpu: "100m" memory: "256Mi" limits: cpu: "500m" memory: "512Mi" ports: - containerPort: 8080 securityContext: allowPrivilegeEscalation: false readOnlyRootFilesystem: true capabilities: drop: - ALL securityContext: runAsNonRoot: true runAsUser: 1000 runAsGroup: 1000 fsGroup: 1000 EOF ## 2. 配置资源限制 $ kubectl apply -f - << EOF apiVersion: v1 kind: LimitRange metadata: name: default-limits namespace: default spec: limits: - default: cpu: "500m" memory: "512Mi" defaultRequest: cpu: "100m" memory: "256Mi" type: Container EOF ## 3. 配置Pod安全策略 $ kubectl apply -f - << EOF apiVersion: policy/v1beta1 kind: PodSecurityPolicy metadata: name: restricted annotations: seccomp.security.alpha.kubernetes.io/allowedProfileNames: 'docker/default' apparmor.security.beta.kubernetes.io/allowedProfileNames: 'runtime/default' seccomp.security.alpha.kubernetes.io/defaultProfileName: 'docker/default' apparmor.security.beta.kubernetes.io/defaultProfileName: 'runtime/default' spec: privileged: false allowPrivilegeEscalation: false requiredDropCapabilities: - ALL volumes: - 'configMap' - 'emptyDir' - 'projected' - 'secret' - 'downwardAPI' - 'persistentVolumeClaim' hostNetwork: false hostIPC: false hostPID: false runAsUser: rule: 'MustRunAsNonRoot' seLinux: rule: 'RunAsAny' supplementalGroups: rule: 'MustRunAs' ranges: - min: 1 max: 65535 fsGroup: rule: 'MustRunAs' ranges: - min: 1 max: 65535 readOnlyRootFilesystem: false EOF ## 4. 配置运行时监控 $ helm repo add prometheus-community https://prometheus-community.github.io/helm-charts $ helm install prometheus prometheus-community/kube-prometheus-stack --namespace monitoring ## 5. 部署安全监控工具 $ kubectl apply -f https://raw.githubusercontent.com/aquasecurity/trivy-operator/main/deploy/static/trivy-operator.yaml

## 1. 配置网络策略
$ kubectl apply -f – << EOF apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny namespace: default spec: podSelector: {} policyTypes: - Ingress - Egress EOF $ kubectl apply -f - << EOF apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: allow-nginx namespace: default spec: podSelector: matchLabels: app: nginx policyTypes: - Ingress - Egress ingress: - from: - podSelector: matchLabels: app: frontend ports: - protocol: TCP port: 80 egress: - to: - podSelector: matchLabels: app: backend ports: - protocol: TCP port: 8080 EOF ## 2. 配置服务暴露 $ kubectl apply -f - << EOF apiVersion: v1 kind: Service metadata: name: nginx namespace: default spec: selector: app: nginx ports: - port: 80 targetPort: 80 type: ClusterIP EOF ## 3. 配置Ingress $ kubectl apply -f - << EOF apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: nginx-ingress namespace: default annotations: nginx.ingress.kubernetes.io/rewrite-target: / spec: rules: - host: nginx.fgedu.net.cn http: paths: - path: / pathType: Prefix backend: service: name: nginx port: number: 80 EOF ## 4. 配置TLS $ kubectl create secret tls fgedu-tls --key tls.key --cert tls.crt $ kubectl apply -f - << EOF apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: nginx-ingress-tls namespace: default annotations: nginx.ingress.kubernetes.io/rewrite-target: / spec: tls: - hosts: - nginx.fgedu.net.cn secretName: fgedu-tls rules: - host: nginx.fgedu.net.cn http: paths: - path: / pathType: Prefix backend: service: name: nginx port: number: 80 EOF ## 5. 配置防火墙 $ sudo firewall-cmd --permanent --add-port=6443/tcp $ sudo firewall-cmd --permanent --add-port=2379-2380/tcp $ sudo firewall-cmd --permanent --add-port=10250/tcp $ sudo firewall-cmd --permanent --add-port=10251/tcp $ sudo firewall-cmd --permanent --add-port=10252/tcp $ sudo firewall-cmd --permanent --add-port=30000-32767/tcp $ sudo firewall-cmd --reload

# 1. 部署Harbor镜像仓库
$ helm repo add harbor https://helm.goharbor.io
$ helm install harbor harbor/harbor –namespace harbor –create-namespace –set externalURL=https://harbor.fgedu.net.cn

# 2. 配置Harbor安全扫描
$ kubectl port-forward svc/harbor-core 8080:80 -n harbor

# 3. 构建镜像
$ cat > Dockerfile << EOF FROM ubuntu:20.04 RUN apt-get update && apt-get install -y nginx EXPOSE 80 CMD ["nginx", "-g", "daemon off;"] EOF $ docker build -t harbor.fgedu.net.cn/library/nginx:v1 . # 4. 推送镜像到Harbor $ docker push harbor.fgedu.net.cn/library/nginx:v1 # 5. 扫描镜像 # 在Harbor UI中手动扫描或使用API $ curl -X POST -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/projects/library/repositories/nginx/artifacts/v1/scan # 6. 查看扫描结果 $ curl -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.更多学习教程公众号风哥教程itpux_com0/projects/library/repositories/nginx/artifacts/v1/scans # 7. 修复漏洞 # 更新Dockerfile $ cat > Dockerfile << EOF FROM ubuntu:22.04 RUN apt-get update && apt-get install -y nginx && apt-get clean EXPOSE 80 CMD ["nginx", "-g", "daemon off;"] EOF # 重新构建和推送 $ docker build -t harbor.fgedu.net.cn/library/nginx:v2 . $ docker push harbor.fgedu.net.cn/library/nginx:v2 # 重新扫描 $ curl -X POST -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/projects/library/repositories/nginx/artifacts/v2/scan # 8. 配置Kubernetes使用扫描后的镜像 $ kubectl apply -f - << EOF apiVersion: apps/v1 kind: Deployment metadata: name: nginx namespace: default spec: replicas: 3 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: imagePullSecrets: - name: harbor-cred containers: - name: nginx image: harbor.fgedu.net.cn/library/nginx:v2 resources: requests: cpu: "100m" memory: "256Mi" limits: cpu: "500m" memory: "512Mi" ports: - containerPort: 80 EOF

# 1. 部署Falco安全监控
$ helm repo add falcosecurity https://falcosecurity.github.io/charts
$ helm install falco falcosecurity/falco –namespace falco –create-namespace

# 2. 配置Falco规则
$ kubectl apply -f – << EOF apiVersion: v1 kind: ConfigMap metadata: name: falco-rules namespace: falco data: custom-rules.yaml: | - rule: Detect shell in container desc: Detect a shell being spawned in a container condition: spawned_process and container and proc.name = bash output: "Shell spawned in container (container=%container.name, image=%container.image.repository, proc=%proc.name, user=%user.name)" priority: WARNING - rule: Detect privileged container desc: Detect a privileged container being created condition: evt.type = container and container.privileged = true output: "Privileged container created (container=%container.name, image=%container.image.repository)" priority: CRITICAL EOF # 3. 配置Pod安全上下文 $ kubectl apply -f - << EOF apiVersion: apps/v1 kind: Deployment metadata: name: secure-app namespace: default spec: replicas: 3 selector: matchLabels: app: secure-app template: metadata: labels: app: secure-app spec: containers: - name: secure-app image: fgedu/secure-app:v1 resources: requests: cpu: "100m" memory: "256Mi" limits: cpu: "500m" memory: "512Mi" ports: - containerPort: 8080 securityContext: allowPrivilegeEscalation: false readOnlyRootFilesystem: true capabilities: drop: - ALL securityContext: runAsNonRoot: true runAsUser: 1000 runAsGroup: 1000 EOF # 4. 配置网络策略 $ kubectl apply -f - << EOF apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: secure-app-network-policy namespace: default spec: podSelector: matchLabels: app: secure-app policyTypes: - Ingress - Egress ingress: - from: - podSelector: matchLabels: app: frontend ports: - protocol: TCP port: 8080 egress: - to: - podSelector: matchLabels: app: backend ports: - protocol: TCP port: 8080 EOF # 5. 测试运行时安全 # 尝试在容器中执行shell $ kubectl exec -it secure-app-6799fc88d8-2q4x2 -- /bin/bash Error from server (Forbidden): container has runAsNonRoot and image will run as root (pod: "secure-app-6799fc88d8-2q4x2_default", container: secure-app) # 查看Falco告警 $ kubectl logs -n falco deployment/falco 2026-04-03T12:00:00Z WARNING Shell spawned in container (container=secure-app-6799fc88d8-2q4x2, image=fgedu/secure-app:v1, proc=bash, user=root)

# 1. 部署Harbor镜像仓库
$ helm repo add harbor https://helm.goharbor.学习交流加群风哥微信: itpux-comio
$ helm install harbor harbor/harbor –namespace harbor –create-namespace –set externalURL=https://harbor.fgedu.net.cn –set harborAdminPassword=Harbor12345

# 2. 配置Harbor认证
# 创建用户
$ curl -X POST -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/users -H “Content-Type: application/json” -d ‘{“username”: “developer”, “password”: “Developer123”, “email”: “developer@fgedu.net.cn”, “realname”: “Developer”, “comment”: “Developer user”}’

# 创建项目
$ curl -X POST -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/projects -H “Content-Type: application/json” -d ‘{“project_name”: “development”, “public”: false}’

# 分配用户权限
$ curl -X POST -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/projects/1/members -H “Content-Type: application/json” -d ‘{“role_id”: 2, “member_user”: {“username”: “developer”}}’

# 3. 配置Harbor安全扫描
# 启用漏洞扫描
$ curl -X PUT -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/system/scanAll -H “Content-Type: application/json” -d ‘{“enabled”: true, “schedule”: “0 0 * * *”}’

# 4. 配置Harbor镜像签名
# 生成证书
$ openssl genrsa -out ca.key 4096
$ openssl req -x509 -new -nodes -key ca.key -sha256 -days 365 -out ca.crt -subj “/CN=harbor.fgedu.net.cn”

# 配置Harbor使用证书
$ kubectl create secret generic harbor-ca –from-file=ca.crt=ca.crt -n harbor

# 5. 配置Harbor审计日志
# 启用审计日志
$ curl -X PUT -u admin:Harbor12345 https://harbor.fgedu.net.cn/api/v2.0/system/audit -H “Content-Type: application/json” -d ‘{“enabled”: true, “audit_l学习交流加群风哥QQ113257174og_rotate_count”: 10, “audit_log_rotate_size”: 20971520}’

# 6. 配置Kubernetes使用Harbor
# 创建镜像拉取密钥
$ kubectl create secret docker-registry harbor-cred –docker-server=https://harbor.fgedu.net.cn –docker-username=developer –docker-password=Developer123 –docker-email=developer@fgedu.net.cn

# 部署应用
$ kubectl apply -f – << EOF apiVersion: apps/v1 kind: Deployment metadata: name: app namespace: default spec: replicas: 3 selector: matchLabels: app: app template: metadata: labels: app: app spec: imagePullSecrets: - name: harbor-cred containers: - name: app image: harbor.fgedu.net.cn/development/app:v1 resources: requests: cpu: "100m" memory: "256Mi" limits: cpu: "500m" memory: "512Mi" ports: - containerPort: 8080 EOF # 7. 测试镜像仓库安全 # 尝试使用无效凭证拉取镜像 $ docker pull harbor.fgedu.net.cn/development/app:v1 Error response from daemon: Get "https://harbor.fgedu.net.cn/v2/development/app/manifests/v1": unauthorized: unauthorized to access repository: development/app, action: pull: unauthorized to access repository: development/app, action: pull # 使用有效凭证拉取镜像 $ docker login harbor.fgedu.net.cn -u developer -p Developer123 Login Succeeded $ docker pull harbor.fgedu.net.cn/development/app:v1 v1: Pulling from development/app Digest: sha256:0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef Status: Downloaded newer image for harbor.fgedu.更多视频教程www.fgedu.net.cnnet.cn/development/app:v1

## 1. 镜像漏洞
– 原因：使用了有漏洞的基础镜像或依赖
– 解决方案：使用最新的基础镜像，定期更新依赖，使用镜像扫描工具

## 2. 容器逃逸
– 原因：容器权限配置不当，使用了特权容器
– 解决方案：使用非root用户运行容器，禁用特权模式，配置安全上下文

## 3. 网络安全问题
– 原因：网络策略配置不当，不必要的端口暴露
– 解决方案：配置网络策略，限制容器间通信，只暴露必要的端口

## 4. 镜像仓库安全
– 原因：镜像仓库认证配置不当，访问控制不严格
– 解决方案：配置镜像仓库认证，设置基于角色的访问控制，启用审计日志

## 5. 运行时安全问题
– 原因：运行时监控不足，异常行为未被检测
– 解决方案：部署运行时安全监控工具，如Falco，配置告警规则

## 6. 配置错误
– 原因：安全配置错误，如使用默认密码，权限配置不当
– 解决方案：使用配置管理工具，遵循安全配置最佳实践，定期检查配置

## 7. 密钥泄露
– 原因：密钥和凭证被硬编码到镜像中，或通过环境变量暴露
– 解决方案：使用Secret管理密钥，避免硬编码，定期轮换密钥

## 8. 资源耗尽
– 原因：容器资源限制配置不当，导致资源耗尽
– 解决方案：设置合理的资源限制，使用LimitRange，监控资源使用情况