容器安全

环境安全

镜像安全

运行安全

确保容器基础设施的物理安全，限制未经授权的物理访问。在使用云服务的情况下，关注云安全最佳实践并配置适当的身份验证和访问控制。

容灾是指为了防止因某些意外事件造成系统或数据丢失，而采取的一系列措施。容器环境基础设施的容灾安全可以采用多地点的容灾方案，确保容器应用在一个地点遭受灾难时能够快速切换到另一个地点的备用环境。

多地点容灾有助于降低单点故障的风险，提高系统整体的可靠性。确保容器应用的关键数据定期备份，并将备份数据同步到备用环境。使用高效的数据同步机制，确保备用环境中的数据与主环境保持一致性，减少数据丢失的可能性。

在自己构建镜像的情况下，可以通过如下步骤尽量保障镜像安全性：

首先，在编码阶段，要求工程师具备一定的安全知识，避免编写包含漏洞或可利用的代码，从代码源头上减少可被攻击的风险；

其次，进行代码集成和测试之前，利用代码审计工具发现代码中潜在的漏洞，并修复发现的漏洞；

再次，构建镜像时应精简镜像，仅包含应用程序运行所需的最小组件。这有助于减小攻击面，减少潜在的漏洞和风险。使用适当的权限控制，确保只有授权的用户可以对镜像进行更改。

最后，在镜像投入使用之前，对镜像进行漏洞扫描可及时发现潜在的风险；

为防止镜像传输过程中被篡改，使用数字签名来验证镜像的真实性，可以确保镜像在构建和传输的过程中没有被篡改。容器运行时会验证签名，以确保镜像的完整性。

建议将镜像进行统一的存放，检查容器镜像仓库是否配置了身份鉴别机制、项目租户管理，保证镜像的隔离性和安全性。

按照固定的时间间隔对容器镜像进行漏洞扫描是至关重要的。由于漏洞数据库经常更新，定期扫描可以确保你的容器始终具有最新的安全状态。将漏洞扫描集成到你的持续集成/持续部署（CI/CD）流程中，以确保每次构建都经过漏洞扫描。这有助于及早发现并解决漏洞，从而减少潜在的风险。对扫描结果进行分级，根据漏洞的严重程度确定处理的优先级。这有助于集中精力解决最严重的漏洞，从而提高整体安全性。

最小化权限是容器安全中的一项基本原则，旨在减少容器运行时的攻击面，提高整体系统的安全性。这个原则强调的是仅授予容器运行所需的最低权限，避免过度的权限赋予，从而减少潜在的安全风险。

在容器中运行应用程序时，避免使用具有过高权限的用户。如果应用程序只需要读取文件，那么使用只具有读取权限的用户docker run --read-only 来运行容器，而不是具有写入权限的用户。

尽量使用非特权用户来运行容器。即使容器需要一些权限，也应该尽量限制在非root用户下运行，以减少潜在的攻击面。应有效的收敛特权容器的存在，限制对构建环境的访问，减少潜在的风险。

避免将敏感信息硬编码到容器中。使用安全的方式传递敏感信息，例如：通过环境变量或专门的安全配置管理工具，确保这些信息不容易被滥用。

网络隔离是在限制容器之间和容器与主机之间的网络通信，从而提高整体系统的安全性。使用容器运行时提供的网络隔离机制，确保容器之间的通信是受控的。这可以通过使用Docker的网络命名空间Kubernetes的Network Policies等来实现。网络策略的本质就是建立一个防火墙，控制入站和出战流量。

限制容器暴露的端口，只暴露应用程序需要的端口。这可以减少攻击面，防止未经授权的访问。

为每个容器设置合适的资源限制和配额，包括CPU、内存、网络I/O等。通过命令，--cpus --memory等，cgroup自动进行对应的限额配置，这有助于防止某个容器无限制地消耗资源。制定合理的资源配额策略，确保每个容器只能使用其分配的资源。

设置容器的优先级，确保关键任务的容器在资源争夺时能够优先获得资源。实施自动伸缩机制，根据负载和需求动态调整容器的数量和资源分配。在高负载时自动增加容器实例，在低负载时自动减少，以平衡资源使用。

cgroup主要用于对 CPU、内存、网络等资源进行限制和隔离，但并不直接用于对存储资源进行限制。存储资源通常通过其他机制来进行管理和限制。数据卷是容器中持久化存储的一种方式。确保每个容器可以拥有自己独立的数据卷，以存储其特定应用的数据。要避免多个容器共享相同的数据卷。也可通过选择不同的存储驱动来实现文件系统的隔离和共享。Kubernetes通过PV、PVC来进行资源限制和隔离。

部署实时监控系统，检测异常行为和潜在的安全威胁。除了对基本的基础设施资源进行监控外，还需要对正在运行的作业容器进行监控，保证任务的准确运行。设置警报机制，及时响应并采取措施以应对安全事件。

启用详细的日志记录，记录容器活动和基础设施事件。Docker支持多种日志记录机制，用来帮助用户从正在运行的容器和服务中获取信息，可以根据系统需求，对Docker默认的日志驱动进行修改。对于编排工具的日志审计，既要记录应用程序的日志信息，也要记录存储系统组件的相关日志。