VIP20
本课程属于：030-云原生安全基线容量水位巡检 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

Kyverno安全水位高风险变更准入治理

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
课程导论
安全基线水位定义 · 高风险变更概念 · Kyverno 在云原生安全中的角色
课程导论安全基线水位定义
02
Kyverno 基础架构
Kyverno 组件 · 准入控制器工作流程 · 策略引擎原理
Kyverno基础架构
03
安装与部署
使用 Helm 安装 Kyverno · 配置高可用 · 验证部署状态
安装部署
04
策略语言入门
Rule 结构 · Match/Exclude 条件 · Mutate/Validate/Ge…
策略语言入门Rule
05
安全基线水位模型
CIS Benchmark 映射 · Pod Security Stand… · 基线 vs 受限模式
安全基线水位模型CIS
06
高风险变更识别
特权容器 · hostPath 挂载 · hostNetwork
高风险变更识别特权容器
07
禁止特权容器
编写 Validate 策略拒绝 p…
禁止特权容器Validate
08
限制容器 Capabilities
drop ALL 与 add 白名单…
Capabilities限制容器
09
禁止 hostPath 挂载
匹配 volumes.hostPat…
hostPath禁止
10
限制 hostNetwork
只允许特定 Namespace 使用…
hostNetwork限制
11
禁止 hostPID/hostIPC
编写 Mutate 或 Valida…
hostPID/host…禁止
12
强制只读根文件系统
readOnlyRootFilesy…
强制只读根文件系…readOnlyRoot…
13
限制 seccomp 配置
强制 RuntimeDefault…
seccomp限制
14
限制 AppArmor 配置
强制使用指定 Profile
AppArmor限制
15
限制 SELinux 配置
禁止 permissive 模式
SELinux限制
16
限制用户与组 ID
禁止 root 用户 (runAsU…
ID限制用户
17
限制 fsGroup 与 supplementalGroups
强制非 root 组
fsGroupsupplemental…
18
限制容器端口
禁止绑定特权端口 (<1024)
限制容器端口禁止绑定特权端口
19
限制资源请求与限制
强制设置 CPU/Memory li…
限制资源请求限制
20
禁止使用 latest 镜像标签
强制使用固定版本标签
latest禁止使用
21
禁止镜像拉取策略为 Always
强制 IfNotPresent 或…
Always禁止镜像拉取策略…
22
限制环境变量中的敏感信息
禁止明文 Secret 注入
限制环境变量敏感信息
23
限制挂载 ServiceAccount
自动挂载设为 false
ServiceAccou…
24
限制 NetworkPolicy 缺失
强制每个 Namespace 有 N…
NetworkPolic…限制
25
限制 PodAntiAffinity 缺失
强制高可用部署
PodAntiAffin…限制
26
限制 PDB (PodDisruptionBudget) 缺失
强制关键工作负载配置 PDB
PDBPodDisruptio…
27
策略测试与调试
使用 Kyverno CLI 测试策… · 查看审计日志
策略测试调试
28
策略灰度与异常处理
使用 Exclude 规则 · Namespace 白名单 · 异常审批流程
策略灰度异常处理
29
策略监控与告警
集成 Prometheus/Graf… · Kyverno Metrics · 告警规则
策略监控告警
30
课程总结与最佳实践
策略分层 · CI/CD 集成 · 持续合规审计
课程总结最佳实践