4. 镜像安全基线：CIS Docker Benchmark、K8s Pod安全标准（PSP/PSS）、镜像最小化原则

在多集群K8s环境中，镜像安全基线是供应链安全的第一道防线。本章围绕三个核心维度展开：CIS Docker Benchmark（主机与守护进程级基线）、K8s Pod安全标准（PSP/PSS，集群级准入控制）、镜像最小化原则（构建与运行时精简）。三者形成从构建到运行时的完整安全水位闭环。

4.1 CIS Docker Benchmark：主机级安全基线

CIS（Center for Internet Security）Docker Benchmark 是业界公认的容器主机安全配置标准，覆盖 Docker 守护进程、主机文件权限、网络配置、日志审计等 100+ 检查项。在多集群场景下，每个集群节点都必须通过该基线巡检。

#!/bin/bash
# 多集群节点CIS Docker Benchmark巡检
CLUSTERS=("cluster-a" "cluster-b" "cluster-c")
for cluster in "${CLUSTERS[@]}"; do
  echo "=== 巡检集群: $cluster ==="
  kubectl get nodes --context="$cluster" -o name | while read node; do
    echo "节点: $node"
    # 检查守护进程配置
    kubectl node-shell "$node" -- docker info | grep -E "ICC|Live Restore|Logging Driver"
    # 检查文件权限
    kubectl node-shell "$node" -- stat -c "%a %U:%G" /etc/docker/daemon.json
    # 检查网络模式
    kubectl node-shell "$node" -- docker ps --filter "network=host" -q | wc -l
  done
done

4.2 K8s Pod安全标准：PSP 与 PSS 的演进与落地

K8s 的 Pod 安全策略经历了从 PodSecurityPolicy (PSP) 到 Pod Security Standards (PSS) 的重大演进。PSP 在 1.21 版本被弃用，1.25 版本彻底移除，取而代之的是内置的 PSS 准入控制器。多集群环境中，不同版本集群可能同时存在，需要统一管理策略。

4.3 镜像最小化原则：从构建到运行时的精简策略

镜像最小化是降低攻击面的核心手段。每个不必要的包、工具或文件都可能成为漏洞载体。最小化原则贯穿镜像构建、存储和运行三个阶段。

4.3.1 构建阶段：多阶段构建与基础镜像选择

• 基础镜像选择： 优先使用 scratch、alpine、distroless 等最小化镜像。避免使用 ubuntu:latest 或 centos:latest 等通用发行版。
• 多阶段构建： 第一阶段使用完整工具链编译，第二阶段仅复制编译产物和运行时依赖。
• 移除包管理器： 最终镜像中不应包含 apt、yum、apk 等包管理器，防止运行时安装恶意软件。
• 非root用户： 在 Dockerfile 中创建专用用户，避免以 root 运行。

# 第一阶段：编译
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o /app/server

# 第二阶段：运行（使用scratch）
FROM scratch
COPY --from=builder /app/server /server
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
USER 1001:1001
EXPOSE 8080
ENTRYPOINT ["/server"]

4.3.2 运行时阶段：只读文件系统与安全上下文

4.3.3 镜像大小对比与CVE影响

4.4 安全水位巡检清单（多集群版）

以下清单可作为多集群镜像安全基线巡检的标准化检查项，每个集群独立执行，结果汇总至统一仪表盘。