1. 课程导论：容器镜像安全现状、分层扫描的价值、策略即代码概念、资源配额模型概述

1.1 容器镜像安全现状与挑战

容器镜像已成为现代云原生应用交付的核心载体。然而，镜像中打包的操作系统包、应用依赖库、配置文件以及运行时层，都可能引入安全漏洞。根据行业报告，超过 70% 的生产容器镜像包含至少一个已知的高危或严重漏洞。

当前容器镜像安全面临的主要挑战包括：

• 供应链攻击面扩大： 镜像从构建、存储、传输到运行，每个环节都可能被植入恶意代码或后门。
• 基础镜像臃肿： 许多团队直接使用包含大量非必要工具的基础镜像，导致攻击面显著增加。
• 漏洞修复周期长： 传统安全扫描在发现漏洞后，需要人工定位、修复并重新构建整个镜像，效率低下。
• 合规与审计缺失： 缺乏对镜像内容、构建历史以及运行时行为的细粒度策略管控。

1.2 分层扫描的价值

传统镜像扫描通常将整个镜像视为一个黑盒，扫描粒度粗、耗时长，且无法精准定位漏洞来源。分层扫描（Layer Scanning）通过解析 Docker 或 OCI 镜像的每一层文件系统变更，实现了更精细的安全分析。

分层扫描的核心价值体现在以下方面：

1.3 策略即代码（Policy as Code）概念

策略即代码（Policy as Code, PaC）是将安全、合规、运维等策略以机器可读的代码形式进行声明、版本控制、自动化执行与审计的实践。在容器镜像安全领域，PaC 使得安全团队能够将组织策略（如“禁止使用 latest 标签”、“禁止包含高危漏洞”、“必须使用指定基础镜像”）转化为可执行的规则。

PaC 的核心优势包括：

• 自动化与左移： 在 CI/CD 流水线中自动执行策略检查，在镜像构建或部署前拦截违规。
• 版本控制与审计： 策略代码存储在 Git 仓库中，变更可追溯、可回滚，满足合规审计要求。
• 可重复性与一致性： 消除人工审核的主观性和不一致性，确保所有环境执行统一标准。
• 可测试性： 策略代码可以像应用代码一样进行单元测试和集成测试。

1.4 资源配额模型概述

在 Kubernetes 环境中，资源配额（Resource Quotas）用于限制命名空间级别的资源使用总量，防止单个团队或应用耗尽集群资源。然而，传统的资源配额模型是静态的，无法根据镜像的安全属性、业务优先级或运行时风险动态调整。

本课程提出的资源配额模型将策略即代码与资源管理相结合，实现以下目标：

1.5 课程核心价值与学习路径

本课程将带领学员从零构建一套完整的容器镜像安全治理体系，核心价值包括：

1. 掌握分层扫描技术： 深入理解镜像层结构，学会使用工具（如 Trivy、Grype）进行高效的分层漏洞扫描。
2. 编写策略即代码： 使用 OPA（Open Policy Agent）或 Kyverno 编写可执行的镜像安全策略，并集成到 CI/CD 流水线。
3. 实现动态资源配额： 基于镜像安全评分和策略评估结果，动态调整 Kubernetes 命名空间的资源配额，实现安全与资源的联动治理。
4. 实战落地： 通过多个动手实验，完成从镜像扫描、策略编写到配额模型部署的全流程实践。