保护供应链与机密信息

容器镜像由基础镜像、操作系统软件包和应用依赖构建而成，然后经过镜像仓库推送到集群。每一步都可能成为遭入侵的机会。供应链攻击会在代码进入生产环境之前插入恶意代码。

• 遭入侵的基础镜像或依赖。
• 镜像仓库中被篡改的镜像。
• 恶意的 CI/CD 流水线步骤。

镜像中经常带有存在已知漏洞的软件包。扫描可以在部署前发现这些问题。

• 过时的基础镜像会不断累积 CVE。
• 臃肿的镜像会扩大攻击面。
• 镜像层中嵌入的密钥会泄露凭据。

从小型且已知可靠的基础开始，减少攻击面。

• 使用 distroless 或精简的基础镜像（不包含命令解释器和包管理器）。
• 根据摘要固定基础镜像，而不是使用可变标签。
• 优先使用官方基础镜像或经过内部审核的基础镜像。

镜像越小，CVE 越少，攻击者在攻陷后可以滥用的工具也越少。

签名可以证明镜像来自您的流水线且未被篡改。来源证明（SLSA）会记录镜像的构建过程。

• Cosign用于签名和验证镜像。
• 生成SBOM以跟踪每个组件。
• 附加构建来源证明声明。

强制要求只有经过签名和扫描的镜像才能运行。准入控制器会在部署时拒绝未签名或存在漏洞的镜像。

CI/CD 系统本身就是高价值目标：它持有凭据，并且能够向生产环境推送内容。

• 按照最小权限原则限制流水线凭据的作用域，并设置较短的生命周期。
• 固定版本并验证第三方 CI 操作和插件。
• 隔离构建运行器；不要在不同信任级别之间复用运行器。
• 通过身份验证和不可变性保护镜像仓库。

Kubernetes Secret 默认是经过 base64 编码的，而不是经过加密的。任何能够读取它们或读取 etcd 的人，都能看到明文。

保护 etcd 内容，避免备份被盗或 etcd 被访问后导致所有内容泄露。

• 使用EncryptionConfiguration启用静态加密。
• 使用云 KMS 提供商实现信封加密。
• 限制对 etcd 的直接访问，并对其进行审计。

最安全的模式是完全不将密钥存储在集群存储中。

• HashiCorp Vault或云密钥管理器保存权威来源。
• External Secrets Operator或 CSI 驱动程序在运行时注入密钥。
• 使用工作负载身份，让 Pod 通过短期云令牌获取密钥，而不是使用静态密钥。

良好的操作规范可以减少密钥暴露。

• 绝不要将密钥嵌入镜像或提交到 Git。
• 扫描代码仓库和镜像，查找泄露的凭据。
• 定期轮换密钥，并在怀疑密钥暴露时立即轮换。
• 将 RBAC get/list secrets权限限制到最低程度。

评估时，请验证未签名或存在漏洞的镜像确实会被阻止，Secret 确实经过静态加密，并且镜像或 Git 中没有明文凭据。展示发现的问题时，不要将真实密钥外泄到证明所需范围之外。

针对每个缺口，报告能够弥补该缺口的具体控制措施（签名策略、KMS 加密或外部密钥管理器）。

您已经强化了镜像供应链和密钥处理。

• 扫描镜像，使用精简且版本固定的基础镜像，并使用 cosign 签名。
• 在准入阶段强制要求使用经过签名和扫描的镜像以及可信的镜像仓库。
• Kubernetes Secret 只有 base64 编码；请启用 KMS 静态加密。
• 优先使用外部密钥管理器和工作负载身份，并遵循密钥管理规范。

Kubernetes 安全课程及本课程组到此结束。