随着企业全面拥抱云原生，容器与 Kubernetes 已成为现代应用的基础设施。然而，云原生架构在带来敏捷与弹性的同时，也引入了全新的安全挑战——镜像漏洞、运行时逃逸、网络横向移动、供应链投毒等威胁层出不穷。本文整理了一份从容器到 Kubernetes 的安全必查清单，帮助安全团队与 DevOps 工程师系统性地把控每一个风险点。
一、云原生安全面临的核心挑战
云原生环境与传统 IT 基础设施存在本质差异，安全边界不再清晰，攻击面显著扩大：
- 动态 ephemeral 工作负载：容器生命周期短暂，传统基于 IP 的安全策略难以适用
- 镜像供应链复杂：基础镜像、第三方依赖、CI/CD 管线中的每一环都可能引入风险
- 多租户隔离：共享内核的容器之间需要更强的隔离机制
- 配置漂移：Kubernetes 资源声明式管理下，配置错误可能迅速扩散
面对这些挑战，安全团队必须将安全能力左移，嵌入到开发、交付、运行的每一个环节。
二、容器安全清单
容器是云原生的基本单元，其安全是整个体系的基石。以下是容器层面必须逐项核查的安全要点：
2.1 镜像安全扫描
- 在 CI/CD 管线中集成镜像漏洞扫描（如 Trivy、Grype），阻断高危漏洞镜像上线
- 使用固定版本的基础镜像标签，禁止使用
latest标签 - 定期扫描已部署镜像，发现新披露 CVE 时及时告警与修复
- 维护内部可信基础镜像库，减少对外部公共镜像的直接依赖
2.2 运行时防护
- 部署容器运行时安全工具（如 Falco、Tetragon），监控异常系统调用与进程行为
- 禁止容器以 root 用户运行，使用
runAsNonRoot强制约束 - 限制容器 capabilities，仅授予最小必要权限（
drop ALL, add最小集合） - 启用只读根文件系统（
readOnlyRootFilesystem），防止运行时篡改
2.3 网络隔离
- 实施网络策略（NetworkPolicy），默认拒绝所有 Pod 间通信，按需开放白名单
- 使用 Service Mesh（如 Istio）实现 mTLS，加密服务间通信流量
- 隔离不同安全等级的命名空间，防止低安全级别工作负载影响核心业务
- 监控异常网络行为，如容器主动外连、DNS 隧道等可疑模式
三、Kubernetes 安全清单
Kubernetes 作为容器编排的核心，其安全配置直接决定了整个集群的防护水位。以下是 K8s 层面的关键检查项：
3.1 RBAC 权限管控
- 遵循最小权限原则，为每个 ServiceAccount 仅授予必要的 Role/ClusterRole
- 禁止使用
cluster-admin角色运行业务工作负载 - 定期审计 RBAC 绑定关系，清理过期或过度授权的权限配置
- 启用 RBAC 日志，监控异常权限提升行为
3.2 Pod 安全策略
- 启用 Pod Security Admission（PSA），在命名空间级别强制执行安全基线
- 配置
baseline或restricted安全级别，阻止特权容器、hostNetwork 等高风险配置 - 使用 OPA/Gatekeeper 或 Kyverno 实施自定义准入策略，统一安全合规检查
- 为所有 Pod 设置资源限制（resources.limits），防止资源耗尽型攻击
3.3 审计日志
- 启用 Kubernetes 审计日志，记录所有 API Server 访问行为
- 将审计日志接入集中式日志平台（如 ELK、Loki），设置异常告警规则
- 重点关注敏感操作：Secret 访问、RBAC 变更、Pod 创建/删除等
- 定期审查审计日志，识别异常模式与潜在威胁
四、供应链安全
云原生应用的供应链安全日益重要，镜像仓库与依赖管理是不可忽视的环节：
- 镜像仓库安全：使用私有镜像仓库，启用镜像签名与验证（如 Cosign），确保部署镜像未被篡改
- 依赖扫描：在构建阶段扫描应用依赖（npm、pip、Maven 等），阻断已知高危依赖进入生产环境
- SBOM 管理：为每个镜像生成软件物料清单（SBOM），建立完整的组件追溯能力
- 镜像来源验证：仅使用经过安全审核的基础镜像，定期更新并重新扫描
五、总结
云原生安全不是一次性的配置工作，而是贯穿开发、交付、运行全生命周期的持续过程。从容器镜像扫描、运行时防护、网络隔离，到 Kubernetes RBAC、Pod 安全策略、审计日志，再到供应链安全管控，每一个环节都需要系统化地落实。希望这份清单能为你的云原生安全建设提供参考，帮助团队在享受云原生红利的同时，守住安全底线。