如何设计安全的容器镜像构建与验证流程？

题目

如何设计安全的容器镜像构建与验证流程？

信息

• 类型：问答
• 难度：⭐⭐

考点

镜像漏洞扫描,最小化基础镜像,镜像签名与验证

快速回答

确保容器镜像安全的核心要点：

• 使用最小化基础镜像（如Alpine）减少攻击面
• 在CI/CD流程中集成镜像漏洞扫描工具（如Trivy）
• 启用镜像签名（Cosign）和验证机制
• 遵循最小权限原则（非root用户运行）
• 定期更新基础镜像和依赖库

原理说明

容器镜像安全涉及构建、存储和运行三个阶段：

1. 构建阶段：通过最小化基础镜像和依赖减少攻击面
2. 存储阶段：通过签名确保镜像完整性和来源可信
3. 运行阶段：通过漏洞扫描和策略验证阻断风险镜像

代码示例

1. 安全Dockerfile示例：

# 使用最小化Alpine镜像
FROM alpine:3.18 as builder

# 设置非root用户
RUN adduser -D appuser

# 复制应用（避免包含敏感信息）
COPY --chown=appuser app /app

# 最终阶段
FROM scratch
COPY --from=builder /app /app
USER appuser
ENTRYPOINT ["/app"]

2. 镜像扫描与签名：

# 使用Trivy扫描镜像
trivy image my-app:1.0 --severity CRITICAL

# 使用Cosign签名镜像
cosign generate-key-pair
cosign sign --key cosign.key my-registry/my-app:1.0

最佳实践

• 基础镜像选择：优先使用distroless或Alpine等小型镜像
• CI/CD集成：在流水线中强制扫描，高危漏洞阻断部署
• 签名验证：在K8s准入控制器中配置验证策略（见扩展知识）
• 依赖管理：固定版本号（避免latest标签），定期更新

常见错误

• ❌ 使用包含完整OS的镜像（如ubuntu:latest）
• ❌ 以root权限运行容器进程
• ❌ 镜像中包含敏感信息（如密钥、配置文件）
• ❌ 仅在生产环境扫描镜像（应左移到构建阶段）

扩展知识

• Kubernetes镜像验证：使用Cosign和Kyverno实现策略控制：

  # Kyverno策略示例
  apiVersion: kyverno.io/v1
  kind: ClusterPolicy
  metadata:
    name: check-image
  spec:
    rules:
    - name: verify-signature
      match:
        resources:
          kinds:
          - Pod
      verifyImages:
      - image: "my-registry/*"
        key: |-
          -----BEGIN PUBLIC KEY-----
          ...
          -----END PUBLIC KEY-----

• SBOM生成：使用Syft生成软件物料清单，跟踪依赖关系
• 运行时防护：结合Falco监控容器异常行为