# 2. 实施步骤
# 步骤1：使用官方基础镜像
FROM alpine:latest

# 步骤2：最小化镜像
RUN apk add –no-cache nginx

# 步骤3：扫描镜像
trivy image my-app:latest

# 步骤4：签名镜像
docker trust sign my-app:latest

# 3. 应用效果
# 减少镜像漏洞
# 提高镜像安全性
# 确保镜像完整性

# 部署脚本
cat > container-image-security.sh << 'EOF' #!/bin/bash # daily_check.sh # from:www.itpux.com.qq113257174.wx:itpux-com # web: `http://www.fgedu.net.cn` # 构建镜像 docker build -t my-app:latest . # 扫描镜像 trivy image my-app:latest # 签名镜像 docker trust sign my-app:latest # 推送镜像 docker push my-app:latest EOF # 运行部署脚本 bash container-image-security.sh

# 2. 实施步骤
# 步骤1：最小权限运行容器
docker run –rm –read-only –cap-drop=ALL –security-opt=no-new-privileges my-app:latest

# 步骤2：监控容器行为
falco –daemon

# 步骤3：限制容器资源
docker run –rm –memory=512m –cpus=1 my-app:latest

# 步骤4：隔离容器网络
docker network create –driver bridge isolated-network
docker run –rm –network=isolated-network my-app:latest

# 3. 应用效果
# 减少容器安全事件
# 提高容器运行时安全性
# 限制容器资源使用

# 部署脚本
cat > container-runtime-security.sh << 'EOF' #!/bin/bash # 最小权限运行容器 docker run --rm --name secure-container \ --read-only \ --cap-drop=ALL \ --security-opt=no-new-privileges \ --memory=512m \ --cpus=1 \ --network=isolated-network \ my-app:latest # 监控容器行为 falco --daemon EOF # 运行部署脚本 bash container-runtime-security.sh

# 2. 实施步骤
# 步骤1：配置RBAC
kubectl create serviceaccount app-service-account
kubectl create role app-reader –verb=get,list –resource=pods
kubectl create rolebinding app-reader-binding –role=app-reader –serviceaccount=default:app-service-account

# 步骤2：配置网络策略
kubectl apply -f network-policy.yaml

# 步骤3：配置Pod安全上下文
kubectl apply -f pod-security-context.yaml

# 步骤4：配置Secret管理
kubectl create secret generic app-secret –from-literal=api-key=my-api-key

# 3. 应用效果
# 提高Kubernetes集群安全性
# 减少未授权访问
# 保护敏感数据

# 部署脚本
cat > container-orchestration-security.sh << 'EOF' #!/bin/bash # 配置RBAC kubectl create serviceaccount app-service-account kubectl create role app-reader --verb=get,list --resource=pods kubectl create rolebinding app-reader-binding --role=app-reader --serviceaccount=default:app-service-account # 配置网络策略 cat > network-policy.yaml << 'EOF' apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny namespace: default spec: podSelector: {} policyTypes: - Ingress - Egress EOF kubectl apply -f network-policy.yaml # 配置Pod安全上下文 cat > pod-security-context.yaml << 'EOF' apiVersion: v1 kind: Pod metadata: name: secure-pod namespace: default spec: securityContext: runAsNonRoot: true runAsUser: 1000 runAsGroup: 1000 containers: - name: nginx image: nginx:latest securityContext: allowPrivilegeEscalation: false capabilities: drop: ["ALL"] readOnlyRootFilesystem: true EOF kubectl apply -f pod-security-context.yaml EOF # 运行部署脚本 bash container-orchestration-security.sh