容器
Kubernetes 安全

1# 安全的Dockerfile
2FROM ubuntu:22.04  # ✅ 支持的基础镜像
3RUN apt-get update && apt-get install -y --no-install-recommends \
4    package1=1.2.3 package2=4.5.6 && \\  # ✅ 固定包版本
5    rm -rf /var/lib/apt/lists/*  # ✅ 减少镜像大小
6COPY --chown=app:app . /app/  # ✅ 正确的权限
7RUN useradd -r app
8USER app  # ✅ 非root用户
9EXPOSE 8080  # ✅ 非特权端口
10# ✅ 通过环境管理秘密
11COPY . /app/
12CMD [python, app.py]
13 

1# 脆弱的Dockerfile
2FROM ubuntu:18.04  # ❌ 已终止支持的基础镜像（367个CVE）
3RUN apt-get update  # ❌ 没有固定包版本
4COPY secrets.json /app/  # ❌ 镜像中包含秘密
5RUN useradd app
6USER root  # ❌ 以root身份运行
7EXPOSE 22  # ❌ 暴露SSH端口
8ENV API_KEY=sk-1234567890  # ❌ 环境变量中包含秘密
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21  # ✅ 更新的安全版本
9    securityContext:
10      allowPrivilegeEscalation: false  # ✅ 无特权升级
11      runAsNonRoot: true              # ✅ 非root用户
12    
13      runAsUser: 1000                 # ✅ 特定UID
14      readOnlyRootFilesystem:
15      true    # ✅ 只读文件系统
16      capabilities:
17        drop: [ALL]
18        # ✅ 删除所有能力
19        add: [NET_BIND_SERVICE]
20     # ✅ 仅需要的能力
21    resources:
22      limits:
23        memory:
24      256Mi               # ✅ 资源限制
25        cpu: 200m
26        ephemeral-storage:
27      1Gi
28      requests:
29        memory: 128Mi
30        cpu: 100m
31    livenessProbe:
32                          # ✅ 健康检查
33      httpGet:
34        path: /health
35 
36        port: 8080
37    readinessProbe:
38      httpGet:
39        path: /ready
40 
41        port: 8080
42 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14  # ❌ 易受攻击的版本
9    securityContext:
10      privileged: true  # ❌ 完全主机访问
11      runAsUser: 0     # ❌ 根用户
12    volumeMounts:
13    - name: host-root
14      mountPath: /host  # ❌ 主机文件系统访问
15  volumes:
16  - name: host-root
17    hostPath:
18      path: /          # ❌ 挂载主机根目录
19  hostNetwork: true    # ❌ 主机 网络访问
20  hostPID: true        # ❌ 主机 PID 命名空间
21