1. 课程导论与云原生安全基线概述
1.1 云原生安全挑战：从边界防御到运行时信任
云原生架构的普及（容器、Kubernetes、微服务、Serverless）在带来弹性与效率的同时，也彻底重塑了安全攻击面。传统基于物理网络边界的安全模型（防火墙、VPN）在动态、短暂、多租户的云原生环境中逐渐失效。
当前企业面临的核心安全挑战可归纳为以下四个维度：
| 挑战维度 | 具体表现 | 典型风险场景 |
|---|---|---|
| 基础设施动态性 | Pod 频繁创建/销毁，节点弹性扩缩，IP 地址非固定 | 传统白名单机制无法追踪临时工作负载 |
| 镜像供应链复杂 | 多层基础镜像、第三方依赖、私有仓库 | 基础镜像含高危漏洞（如 Log4j）或恶意软件 |
| 配置与权限失控 | RBAC 配置错误、特权容器、hostPath 挂载、Seccomp/AppArmor 未启用 | 攻击者利用容器逃逸获取节点 root 权限 |
| 运行时行为不可控 | 进程注入、异常网络连接、文件系统篡改 | Webshell 写入后门进程，横向移动至其他服务 |
⚠️ 关键洞察： 根据 CNCF 2024 年度安全调查，43% 的受访者表示在生产环境中经历过至少一次 Kubernetes 相关安全事件，其中 配置错误 和 运行时异常 是前两大根因。
1.2 安全运行基线的定义与重要性
安全运行基线（Security Runtime Baseline）是指一组经过验证、可量化、可自动化的最小安全控制要求，用于确保云原生工作负载在运行阶段始终处于可接受的风险水平。它不同于构建阶段的镜像扫描或部署前的策略检查，而是聚焦于 “运行时持续核验”。
一个完整的云原生安全运行基线通常包含以下六大领域：
- Pod 安全标准（PSS）： 限制特权容器、hostPID、hostNetwork、hostPath 等危险配置。
- 网络策略（NetworkPolicy）： 默认拒绝所有入站/出站流量，仅允许显式声明的服务间通信。
- 资源限制与配额： 防止资源耗尽型 DoS 攻击，设置 CPU/内存 request 和 limit。
- 只读根文件系统： 强制容器根文件系统只读，仅允许写入临时卷或特定持久卷。
- Seccomp / AppArmor / SELinux： 限制系统调用和内核访问能力。
- 不可变基础设施： 禁止在运行时对容器进行 shell 访问或安装软件包。
💡 为什么基线如此重要？ 基线提供了 “可重复的安全最低标准”。没有基线，安全团队只能依赖人工审计或事后告警；有了基线，平台团队可以在 CI/CD 流水线 和 运行时准入控制 中自动拦截不合规工作负载，实现“安全左移”与“持续合规”的统一。
1.3 Kyverno 在安全基线自动化核验中的角色
Kyverno 是一个为 Kubernetes 设计的云原生策略引擎，由 Nirmata 开源，现为 CNCF 孵化项目。它使用 Kubernetes 原生的 Custom Resource Definitions（CRD） 来定义策略，无需编写复杂的 Webhook 或学习新的策略语言（如 OPA/Rego）。
Kyverno 在安全运行基线自动化核验中扮演以下三个核心角色：
- 准入控制器（Admission Controller）： 在资源创建或更新时，拦截请求并核验是否符合安全基线策略，拒绝不合规操作。
- 运行时审计器（Auditor）： 对集群中已有资源进行周期性扫描，生成合规报告，标记偏离基线的资源。
- 策略生成器（Policy Generator）： 根据 Pod Security Standards（PSS）等官方标准自动生成基线策略，降低人工编写错误。
下图展示了 Kyverno 在 Kubernetes 集群中如何与 API Server 交互，实现安全基线的自动化核验：
1.4 Kyverno 对比其他策略引擎
为了帮助团队选择合适的技术栈，下表对比了 Kyverno 与主流策略引擎（OPA/Gatekeeper、jsPolicy）在安全基线核验场景中的关键差异：
| 特性维度 | Kyverno | OPA / Gatekeeper | jsPolicy |
|---|---|---|---|
| 策略语言 | YAML（Kubernetes 原生 CRD） | Rego（声明式查询语言） | JavaScript / TypeScript |
| 学习曲线 | 低（熟悉 K8s 即可上手） | 中高（需学习 Rego 语法） | 中（需 JavaScript 基础） |
| 运行时审计 | 内置（支持背景扫描与报告） | 需额外配置（ConstraintTemplate + Audit） | 需自定义实现 |
| PSS 原生支持 | 内置（Pod Security Standards 自动生成） | 需手动编写 Rego 规则 | 需手动编写 JS 规则 |
| 策略生成与测试 | 支持（Kyverno CLI + 单元测试） | 支持（opa test） | 有限 |
| 社区与生态 | CNCF 孵化，社区活跃，策略市场丰富 | CNCF 毕业，企业级成熟 | 较小众，文档较少 |
🎯 选型建议： 如果团队以 Kubernetes 原生操作为主，希望降低策略编写门槛并快速落地安全基线，Kyverno 是最佳选择。如果已有 OPA 技术栈或需要复杂的策略逻辑（如跨资源聚合计算），Gatekeeper 仍是可靠方案。