1. 课程导论：镜像供应链安全挑战、准入控制的价值、课程目标与学习路径
1.1 镜像供应链安全挑战：从开发到运行的隐形战场
现代云原生应用高度依赖容器镜像，镜像的构建、分发、部署链条构成了“镜像供应链”。然而，这条供应链正面临日益严峻的安全威胁。攻击者不再仅针对运行时漏洞，而是将攻击点前移，在镜像构建阶段植入恶意代码、利用基础镜像的已知漏洞、或通过篡改镜像签名实施供应链投毒。
核心痛点： 传统安全扫描仅在镜像部署后或运行时进行，无法在准入阶段拦截恶意镜像，导致“带病上线”成为常态。
镜像供应链面临的主要安全挑战可归纳为以下四类：
| 挑战类别 | 典型风险 | 影响范围 |
|---|---|---|
| 基础镜像污染 | 使用包含已知 CVE 的公共基础镜像；镜像层中残留敏感信息（密钥、） | 所有基于该镜像的 Pod |
| 构建过程篡改 | CI/CD 管道被注入恶意依赖；Dockerfile 中引入后门命令 | 特定版本镜像的消费者 |
| 镜像签名与完整性缺失 | 镜像被中间人替换；缺乏验证机制导致运行未签名镜像 | 集群整体信任基线 |
| 运行时配置漂移 | 镜像以特权模式运行；挂载宿主机敏感目录；使用高危 Linux Capabilities | 节点与集群安全隔离 |
行业数据： 根据 2024 年云原生安全报告，超过 60% 的容器安全事件与镜像供应链环节相关，其中基础镜像漏洞和未授权镜像使用是最高频的入口。
1.2 准入控制的价值：从被动防御到主动拦截
Kubernetes 准入控制（Admission Control）是 API Server 请求处理链中的关键环节，在对象被持久化到 etcd 之前执行。通过集成镜像供应链安全策略，准入控制可以实现：
- 前置拦截： 在 Pod 创建或更新时，实时检查镜像签名、漏洞扫描结果、来源仓库白名单。
- 策略即代码： 使用 OPA/Gatekeeper、Kyverno 等策略引擎，将安全规则声明式地嵌入集群。
- 不可变基础设施： 强制要求镜像必须经过签名、扫描、审批后才能运行。
- 审计与合规： 记录所有被拒绝或允许的请求，满足 SOC2、PCI-DSS 等合规要求。
常见误区： 准入控制不是万能的。它无法修复镜像内部的漏洞，也无法阻止运行时攻击。它的核心价值在于“拒绝不符合安全基线的镜像进入运行态”，是安全左移的关键落地手段。
1.3 课程目标与学习路径
本课程旨在帮助学员掌握将镜像供应链安全策略集成到 Kubernetes 准入控制中的完整技能栈。通过理论讲解、工具实操和最佳实践，学员将能够独立设计并实施一套生产级的镜像安全准入体系。
课程核心目标
- 理解镜像供应链攻击面与准入控制的工作原理。
- 掌握 OPA/Gatekeeper、Kyverno 等主流策略引擎的部署与策略编写。
- 集成镜像签名验证（Cosign）、漏洞扫描（Trivy）与准入控制。
- 构建从 CI/CD 到集群的端到端镜像安全流水线。
- 实现合规审计与策略的持续演进。
学习路径与章节结构
| 阶段 | 章节范围 | 核心内容 |
|---|---|---|
| 基础篇 | 第 1-5 章 | 镜像供应链安全基础、准入控制原理、策略引擎选型与部署 |
| 工具篇 | 第 6-15 章 | Cosign 签名验证、Trivy 扫描集成、OPA/Gatekeeper 策略编写、Kyverno 策略管理 |
| 实战篇 | 第 16-25 章 | CI/CD 流水线集成、多集群策略分发、故障排查与性能优化 |
| 进阶篇 | 第 26-30 章 | 合规自动化、策略即代码 GitOps、供应链安全度量与持续改进 |
学习建议： 建议学员具备基本的 Kubernetes 集群操作经验（kubectl、Pod、Deployment 概念），并熟悉 Linux 命令行。每章均配有可复用的策略示例和实验环境说明，建议动手实践以加深理解。