# 使用Trivy扫描容器镜像
$ docker run –rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image nginx:latest

# 使用Clair扫描容器镜像
$ docker run -d –name clair-db arminc/clair-db:latest
$ docker run -p 6060:6060 –link clair-db:postgres -d –name clair arminc/clair-local-scan:latest
$ docker run –rm –link clair:clair -v /var/run/docker.sock:/var/run/docker.sock arminc/clair-scanner:latest -c http://clair:6060 –ip $(hostname -i) nginx:latest

# 使用非root用户运行容器
FROM alpine:3.14

RUN adduser -D -u 1000 appuser
USER appuser

WORKDIR /app
COPY . .

CMD [“./app”]

# 设置只读文件系统
docker run –read-only nginx:latest

# 限制容器能力
docker run –cap-drop=ALL –cap-add=NET_BIND_SERVICE nginx:latest

# 启用RBAC
$ kubectl create clusterrolebinding cluster-admin-binding \
–clusterrole=cluster-admin \
–user=user@fgedu.net.cn

# 配置Pod安全策略
apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
name: restricted
annotations:
seccomp.security.alpha.kubernetes.io/allowedProfileNames: ‘docker/default’
apparmor.security.beta.kubernetes.io/allowedProfileNames: ‘runtime/default’
seccomp.security.alpha.kubernetes.io/defaultProfileName: ‘docker/default’
apparmor.security.beta.kubernetes.io/defaultProfileName: ‘runtime/default’
spec:
privileged: false
allowPrivilegeEscalation: false
requiredDropCapabilities:
– ALL
volumes:
– ‘configMap’
– ’emptyDir’
– ‘projected’
– ‘secret’
– ‘downwardAPI’
– ‘persistentVolumeClaim’
hostNetwork: false
hostIPC: false
hostPID: false
runAsUser:
rule: ‘MustRunAsNonRoot’
seLinux:
rule: ‘RunAsAny’
supplementalGroups:
rule: ‘MustRunAs’
ranges:
– min: 1
max: 65535
fsGroup:
rule: ‘MustRunAs’
ranges:
– min: 1
max: 65535
readOnlyRootFilesystem: true

# Pod安全上下文配置
apiVersion: v1
kind: Pod
metadata:
name: secure-pod
spec:
securityContext:
runAsNonRoot: true
runAsUser: 1000
runAsGroup: 1000
fsGroup: 1000
supplementalGroups: [1001, 1002]
seLinuxOptions:
level: “s0:c123,c456”
containers:
– name: app
image: myapp:latest
securityContext:
allowPrivilegeEscalation: false
readOnlyRootFilesystem: true
runAsNonRoot: true
runAsUser: 1000
capabilities:
drop:
– ALL
add:
– NET_BIND_SERVICE
seccompProfile:
type: RuntimeDefault
seLinuxOptions:
level: “s0:c123,c456”

# 网络策略配置
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: web-allow-all
namespace: default
spec:
podSelector:
matchLabels:
app: web
ingress:
– from:
– podSelector:
matchLabels:
app: frontend
ports:
– protocol: TCP
port: 80
egress:
– to:
– podSelector:
matchLabels:
app: backend
ports:
– protocol: TCP
port: 8080

# Istio mTLS配置
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
name: default
namespace: default
spec:
mtls:
mode: STRICT

# 创建服务账户
apiVersion: v1
kind: ServiceAccount
metadata:
name: my-service-account
namespace: default

# 创建角色
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
name: pod-reader
namespace: default
rules:
– apiGroups: [“”]
resources: [“pods”]
verbs: [“get”, “watch”, “list”]

# 创建角色绑定
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
name: read-pods
namespace: default
subjects:
– kind: ServiceAccount
name: my-service-account
namespace: default
roleRef:
kind: Role
name: pod-reader
apiGroup: rbac.authorization.k8s.io

# Kubernetes OIDC配置
apiVersion: v1
kind: ConfigMap
metadata:
name: kube-apiserver
namespace: kube-system
data:
kube-apiserver.yaml: |
apiServer:
extraArgs:
oidc-issuer-url: https://accounts.google.com
oidc-client-id: my-client-id
oidc-username-claim: email
oidc-groups-claim: groups

# 创建Secret
$ kubectl create secret generic my-secret \
–from-literal=username=admin \
–from-literal=password=secret123

# 在Pod中使用Secret
apiVersion: v1
kind: Pod
metadata:
name: my-pod
spec:
containers:
– name: app
image: myapp:latest
env:
– name: USERNAME
valueFrom:
secretKeyRef:
name: my-secret
key: username
– name: PASSWORD
valueFrom:
secretKeyRef:
name: my-secret
key: password

# 使用Falco监控运行时行为
$ helm repo add falcosecurity https://falcosecurity.github.io/charts
$ helm install falco falcosecurity/falco

# 查看Falco告警
$ kubectl logs -n falco deployment/falco

# 启用Kubernetes审计日志
apiVersion: v1
kind: ConfigMap
metadata:
name: kube-apiserver
namespace: kube-system
data:
kube-apiserver.yaml: |
apiServer:
extraArgs:
audit-log-path: /var/log/kubernetes/audit.log
audit-log-maxage: “30”
audit-log-maxbackup: “10”
audit-log-maxsize: “100”
audit-policy-file: /etc/kubernetes/audit-policy.yaml

# 审计策略配置
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
– level: RequestResponse
resources:
– group: “”
resources: [“secrets”, “configmaps”]
– level: Metadata
resources:
– group: “”
resources: [“pods”, “services”, “deployments”]

# 使用kubesec扫描Kubernetes配置
$ docker run -i kubesec/kubesec:latest scan /dev/stdin <

8.3 合规与审计最佳实践

• 启用审计日志
• 定期进行合规扫描
• 实施安全策略即代码
• 定期进行安全审计
• 建立合规监控体系

风哥风哥提示：合规与审计是云原生安全的重要组成部分，需要建立完善的监控和审计体系。

9. 最佳实践

9.1 安全架构最佳实践

• 实施纵深防御策略
• 使用零信任架构
• 建立安全开发生命周期
• 定期进行安全评估
• 持续更新安全措施

9.2 容器安全最佳实践

• 使用官方基础镜像
• 定期更新容器镜像
• 使用多阶段构建
• 使用非root用户运行容器
• 设置只读文件系统

9.3 Kubernetes安全最佳实践

• 启用RBAC
• 使用Pod安全策略
• 配置Pod安全上下文
• 使用网络策略限制通信
• 定期更新Kubernetes版本

9.4 云原生安全最佳实践

• 实施DevSecOps
• 使用自动化安全工具
• 建立安全监控体系
• 定期进行安全培训
• 建立安全事件响应机制

学习交流加群风哥QQ113257174

10. 安全工具

10.1 容器安全工具

• Trivy：容器镜像扫描
• Clair：容器镜像漏洞扫描
• Docker Bench for Security：Docker安全检查
• Anchore Engine：容器镜像分析

10.2 Kubernetes安全工具

• Kubesec：Kubernetes配置安全扫描
• Pod Security Policy：Pod安全策略
• Network Policy：网络策略
• Kubernetes Audit：审计日志

10.3 运行时安全工具

• Falco：运行时行为监控
• AppArmor：Linux安全模块
• SELinux：安全增强Linux
• gVisor：容器运行时沙箱

10.4 密钥管理工具

• HashiCorp Vault：密钥管理
• AWS Secrets Manager：AWS密钥管理
• Azure Key Vault：Azure密钥管理
• Google Secret Manager：Google密钥管理

生产环境风哥建议：

• 建立完善的云原生安全体系
• 实施自动化安全工具
• 定期进行安全评估和审计
• 建立安全事件响应机制
• 持续更新安全措施
• 培训开发和运维人员的安全意识

author:www.itpux.com

本文由风哥教程整理发布,仅用于学习测试使用,转载注明出处:http://www.fgedu.net.cn/10327.html

DM监控 DM管理 DM配置 Linux管理 Linux配置

相关推荐

• IT教程FG269-IT系统DevOps与CI/CD pipeline
• IT教程FG285-IT系统安全管理与防护
• it教程FG299-网络安全评估与工具
• it教程FG309-IT容器化Docker实践
• IT教程FG319-国产操作系统迁移
• IT教程FG335-网络设备配置管理
• IT教程FG351-网络设备配置与管理
• IT教程FG367-边缘计算
• it教程FG383-云服务管理
• IT教程FG399-微服务架构