镜像包含了应用运行所需的全部文件和依赖。如果镜像在构建时混入了恶意代码，或在基础镜像中携带了存在漏洞的组件，那么无论运行环境多么安全，工作负载从启动的第一刻起就处于风险中。同时镜像一旦推送到仓库，往往会被多个环境复用，问题会快速放大。
扫描应覆盖三个层次。第一是操作系统层，检查系统软件包中的已知漏洞。第二是应用依赖层，检查语言生态中的第三方库。第三是配置层，检查是否使用了过高权限的用户、是否包含敏感文件、是否遗漏了必要配置。
扫描的时机建议前置到构建阶段，并设置阈值阻断。对于已入库的历史镜像，应定期重新扫描，因为漏洞库在不断更新，今天安全的镜像可能在几周后变得不安全。
扫描解决的是已知问题，签名解决的是来源问题。对构建产出的镜像进行签名，在部署前验证签名，可以阻止未经授权的镜像进入运行环境。签名密钥应存放在受控环境，签名过程与构建流水线绑定，避免任何人手工签名的可能。
只有在准入环节拦截，前面的工作才有强制力。准入策略应要求：镜像来自可信仓库、签名验证通过、不包含超过阈值的高危漏洞、不以特权模式运行、基础镜像来自允许清单。同时要预留例外流程，避免业务被完全阻断后私自绕行。
部署后应保持镜像与工作负载的映射关系，记录正在运行的镜像摘要值。这样在发现某个镜像存在问题时，可以快速定位受影响的工作负载并完成替换。
镜像安全的价值在于它的强制性和可复用性。把校验规则固化到流水线和准入环节，比依赖每个人的自觉更可靠。
售后客服
企业微信
