VIP24

本课程属于：024-云原生配置管理准入策略评审 云原生架构与平台工程 · 共 24 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

SBOM镜像准入权限边界与拉取日志审计

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

SBOM定义与价值 · 云原生配置管理面临的挑战 · 准入策略评审的核心目标

课程导论SBOM

SBOM基础概念

SPDX与CycloneDX标准对比 · SBOM的生成工具（Syft · Trivy）介绍

SBOM基础概念

云原生配置管理概述

Kubernetes资源对象（Dep… · ConfigMap · Secret）

云原生配置管理概…Kubernetes

准入策略评审机制

Kubernetes Admissi… · Mutating与Validatin…

准入策略评审机制Kubernetes

权限边界定义

最小权限原则 · RBAC在Kubernetes中的实… · ServiceAccount与Clu…

权限边界定义最小权限原则

SBOM与准入策略结合

将SBOM作为准入策略的输入源 · 策略引擎（OPA/Gatekeepe…

SBOM准入策略结合

OPA Gatekeeper入门

Rego策略语言基础 · ConstraintTemplate…

基于SBOM的镜像准入策略

检查镜像SBOM中已知漏洞（CVE） · 禁止高危组件入集群

配置准入策略的权限模型

谁可以定义策略 · 谁可以绕过策略 · 审计日志的角色

配置准入策略的权…谁可以定义策略

权限边界设计原则

职责分离（SoD） · 最小化特权 · 临时权限提升（Just-In-Tim…

权限边界设计原则SoD

Kubernetes RBAC深度实践

Role与ClusterRole · RoleBinding与Cluste… · 聚合ClusterRole

ServiceAccount与Pod身份

Pod使用特定SA · SA的Secret挂载 · TokenRequest API

ServiceAccou…Pod

准入策略的权限边界实现

为Admission Webhook… · 限制Webhook对集群资源的访问

准入策略的权限边…Admission

拉取日志概述

日志在安全审计中的重要性 · Kubernetes日志架构（kub… · 容器运行时

拉取日志概述日志

API Server审计日志

审计策略配置（AuditPolicy… · 日志级别（Metadata/Requ…

审计日志的存储与转发

使用Fluentd/Logstash… · 发送到Elasticsearch或S…

审计日志的存储转发

准入策略相关日志

Webhook调用日志 · 策略拒绝/允许记录 · RBAC授权失败日志

准入策略相关日志Webhook

SBOM拉取日志

镜像仓库访问日志 · SBOM生成与分发日志 · 策略引擎拉取SBOM的审计

SBOM拉取日志

日志中的权限边界证据

通过日志追溯谁在何时修改了策略 · 谁绕过了准入检查

日志权限边界证据

日志分析与告警

基于ELK或Loki的日志查询 · 异常行为告警规则（如频繁策略拒绝）

日志分析告警

权限边界与日志的联动

当权限变更时自动触发日志审计 · 日志驱动权限回收

权限边界日志的联动

实战场景一

为开发团队配置只读准入策略权限 · 并记录其所有策略查询日志

实战场景一为开发团队配置只…

实战场景二

安全团队定义全局SBOM漏洞阻断策略 · 运维团队仅能查看日志

实战场景二SBOM

实战场景三

临时授权某工程师修改策略 · 通过日志审计其操作并自动回收权限

实战场景三临时授权某工程师…

工具链集成

Syft生成SBOM · OPA Gatekeeper执行策略 · Fluentd采集日志

工具链集成Syft

策略即代码（Policy as Code）

将准入策略与SBOM校验规则存储在G… · CI/CD自动部署

合规性映射

NIST SP 800-53 · CIS Kubernetes Ben…

合规性映射NIST

常见陷阱与最佳实践

避免权限过度授予 · 日志轮转与保留策略 · SBOM更新频率

常见陷阱最佳实践

核心概念回顾 · 权限边界与日志的闭环 · 未来趋势（SBOM与Supply C…

课程总结核心概念回顾

课后作业与扩展阅读

搭建最小实验环境 · 编写一个简单的Rego策略 · 配置审计日志采集

课后作业扩展阅读