VIP20

本课程属于：005-云原生安全运行基线核验 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

容器镜像安全基线核验与OPA Gatekeeper策略集成

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

容器安全挑战 · 镜像安全基线概念 · OPA Gatekeeper简介

课程导论容器安全挑战

容器镜像安全基础

镜像分层原理 · 镜像漏洞扫描（Trivy/Clair… · 镜像签名与验证（Cosign）

容器镜像安全基础镜像分层原理

安全基线标准

CIS Docker Benchma… · NIST SP 800-190 · Dockerfile最佳实践

安全基线标准CIS

OPA Gatekeeper入门

OPA与Rego语言基础 · Gatekeeper架构 · 安装与部署

Rego策略语言基础

Rego语法 · 规则与查询 · 数据与文档模型

Rego策略语言基础

编写第一个Gatekeeper策略

禁止latest标签 · 限制镜像来源仓库 · 强制镜像签名

Gatekeeper编写第一个

镜像安全基线核验工具

Docker Bench Secur… · kube-bench · kube-hunter

镜像安全基线核验…Docker

集成架构设计

CI/CD流水线集成 · 镜像仓库Webhook · Kubernetes Admissi…

集成架构设计CI/CD

策略模板开发

ConstraintTemplate… · 参数化策略 · 复用与组合

策略模板开发ConstraintTe…

镜像漏洞策略

基于Trivy扫描结果生成准入控制 · 禁止高危漏洞镜像部署 · 漏洞白名单管理

镜像漏洞策略Trivy

镜像签名策略

Cosign签名验证 · 公钥分发 · 强制签名检查

镜像签名策略Cosign

镜像来源策略

限制镜像仓库域名 · 禁止非官方镜像 · 镜像标签规范

镜像来源策略限制镜像仓库域名

Dockerfile合规策略

禁止root用户运行 · 限制暴露端口 · 禁止敏感信息（密码/密钥）

Dockerfile合规策略

运行时安全策略

禁止特权容器 · 只读根文件系统 · 限制capabilities

运行时安全策略禁止特权容器

资源限制策略

CPU/内存限制 · 存储限制 · Pod优先级与抢占

资源限制策略CPU

NetworkPolicy强制 · 禁止hostNetwork · 禁止NodePort

网络策略NetworkPolic…

审计与监控

Gatekeeper审计日志 · Prometheus指标 · Grafana仪表盘

策略测试与验证

Rego单元测试框架 · Gatekeeper测试工具 · 模拟准入请求

策略测试验证

策略生命周期管理

策略版本控制 · 灰度发布 · 回滚机制

策略生命周期管理策略版本控制

多集群策略管理

GitOps工作流 · 策略仓库结构 · 跨集群同步

多集群策略管理GitOps

企业级策略库建设

策略分类与命名规范 · 策略文档化 · 策略评审流程

企业级策略库建设策略分类

与CI/CD工具集成

Jenkins/GitLab CI/… · 策略检查阶段 · 阻断与告警模式

CI/CD工具集成

与镜像仓库集成

Harbor Webhook · Docker Registry通知 · 自动触发策略评估

镜像仓库集成Harbor

与Service Mesh集成

Istio/Envoy策略扩展 · Sidecar注入策略 · mTLS强制

高级Rego技巧

循环与迭代 · 集合操作 · JSON处理

策略缓存 · 规则预编译 · 限制评估深度

性能优化策略缓存

常见错误 · 调试技巧 · 日志分析

故障排查常见错误

实战案例一

金融行业镜像安全基线实施 · PCI DSS合规 · 策略模板开发

实战案例一金融行业镜像安全…

实战案例二

电商平台多团队策略管理 · GitOps流水线 · 自动化合规审计

实战案例二电商平台多团队策…

课程总结与展望

最佳实践总结 · 社区生态 · 未来趋势（Kubernetes Po…

课程总结最佳实践总结