12. 安全与策略

Kubernetes 安全是分层防御：身份认证 → 授权 → 准入 → 密钥 → 镜像 → 运行时。任何一层缺失，其他层都会被绕过。这一域把「策略即代码、密钥管理、供应链、运行时安全」放在同一条链路上看。

层级:

L3 · 平台

难度:

进阶

预计:

35 分钟

前置:

RBAC、Pod Security、镜像基础

技术栈地图

  • 认证授权：RBAC、OIDC、SPIFFE/SPIRE。

  • 策略即代码：Kyverno、OPA Gatekeeper、Pod Security Admission、Kubescape。

  • 密钥管理：External Secrets Operator、Vault、Sealed Secrets、SOPS。

  • 证书：cert-manager。

  • 镜像 / 供应链：Trivy、Grype、Cosign/Sigstore、SLSA。

  • 运行时安全：Falco、Tetragon、AppArmor/SELinux。

选型要点

先启用 Pod Security Admission 与最小权限 RBAC，再考虑 Kyverno/Gatekeeper；策略要进 Git、要测试、要有豁免流程。密钥不要进 Git，用 ESO/Vault 或 Sealed Secrets。供应链安全至少做到「扫描 + 签名 + 准入校验」三件事。

本域文章

关联章节