3. 镜像安全生命周期管理：构建、扫描、签名、存储、部署、运行时监控

镜像安全不是单点控制，而是贯穿从代码提交到容器运行的完整链路。任何一个环节的缺失都可能导致供应链攻击面扩大。本章将镜像生命周期拆解为六个关键阶段，逐一说明每个阶段的安全控制点、巡检水位指标以及资源规划建议。

3.1 镜像安全生命周期全景

下图展示了镜像从构建到运行时监控的完整安全闭环。每个阶段都对应特定的安全工具与策略，且上下游之间存在数据传递与策略联动关系。

3.2 构建阶段：安全左移的起点

镜像构建是安全左移的第一道防线。超过 60% 的容器安全漏洞源自基础镜像选择不当或构建过程中引入的恶意依赖。

3.2.1 基础镜像安全选型原则

3.2.2 构建流水线安全集成

在 CI/CD 流水线中嵌入安全扫描步骤，实现“构建即扫描”。以下是一个 GitLab CI 示例，在镜像构建后自动执行 Trivy 扫描并阻断高危镜像推送：

# .gitlab-ci.yml 片段
build-and-scan:
  stage: build
  script:
    - docker build -t ${CI_REGISTRY_IMAGE}:${CI_COMMIT_SHORT_SHA} .
    - trivy image --severity CRITICAL,HIGH --exit-code 1 ${CI_REGISTRY_IMAGE}:${CI_COMMIT_SHORT_SHA}
    - docker push ${CI_REGISTRY_IMAGE}:${CI_COMMIT_SHORT_SHA}
  only:
    - main

3.3 扫描阶段：漏洞与合规检测

镜像扫描不仅限于 CVE 检测，还应包括密钥泄露、许可证合规、恶意软件等维度。推荐采用多引擎并行扫描策略以提高检出率。

3.3.1 扫描维度与工具矩阵

3.4 签名阶段：建立镜像信任链

镜像签名确保镜像的完整性和来源可追溯。Sigstore 生态下的 Cosign 已成为事实标准，支持密钥对、OIDC 身份等多种签名方式。

3.4.1 Cosign 签名与验证流程

# 使用 Cosign 对镜像签名（基于 OIDC 身份）
cosign sign --key gcpkms://projects/my-project/locations/global/keyRings/my-ring/cryptoKeys/my-key \
  registry.example.com/app:v1.0.0

# 在部署前验证签名
cosign verify --key gcpkms://projects/my-project/locations/global/keyRings/my-ring/cryptoKeys/my-key \
  registry.example.com/app:v1.0.0

3.5 存储阶段：镜像仓库安全加固

镜像仓库是供应链攻击的高价值目标。需要从访问控制、传输加密、存储隔离、清理策略四个维度进行加固。

3.5.1 仓库安全配置清单

• 访问控制： 启用 RBAC，区分管理员、开发者、只读用户角色；禁止匿名拉取。
• 传输加密： 强制 HTTPS 访问，配置 TLS 1.2+；启用镜像签名验证。
• 存储隔离： 生产环境与开发环境使用独立仓库实例或命名空间。
• 清理策略： 设置镜像保留策略（如保留最近 30 天或最近 100 个版本），自动清理过期镜像。
• 审计日志： 开启仓库操作审计，记录推送、拉取、删除等行为。

3.6 部署阶段：准入控制与策略执行

在 Kubernetes 集群中，通过 Admission Controller 实现镜像安全策略的强制落地。OPA/Gatekeeper 和 Kyverno 是主流选择。

3.6.1 部署准入策略示例

以下 Kyverno 策略要求所有 Pod 必须使用已签名且扫描通过的镜像：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-image-signature
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-signature
    match:
      resources:
        kinds:
        - Pod
    validate:
      message: "镜像必须经过 Cosign 签名"
      attest:
        attestors:
        - count: 1
          entries:
          - keys:
              kms: gcpkms://projects/my-project/locations/global/keyRings/my-ring/cryptoKeys/my-key

3.7 运行时监控阶段：持续威胁检测

运行时监控是安全生命周期的最后一道防线。Falco 作为 CNCF 毕业项目，提供基于系统调用的异常行为检测能力。

3.7.1 运行时监控关键规则

3.8 容量水位巡检与资源规划

基于上述六个阶段，制定可量化的巡检指标和资源规划建议，确保安全能力与业务规模匹配。

3.8.1 巡检指标与资源规划对照表