1. 课程导论：镜像安全通信的重要性、K8s环境下的安全挑战、课程目标与学习路径
1.1 为什么镜像安全通信是云原生安全的基石
在 Kubernetes 环境中，容器镜像是应用交付的核心载体。镜像从构建、存储、拉取到运行的生命周期中，通信链路的安全直接决定了集群的信任边界。如果镜像在传输过程中被篡改、注入恶意层，或从不可信仓库拉取，整个集群将面临数据泄露、权限提升甚至完全沦陷的风险。
核心观点： 镜像安全通信不仅仅是“加密传输”，而是涵盖 镜像签名验证、准入控制策略、运行时完整性校验 的三层防御体系。本课程将聚焦于如何通过 Kubernetes 原生机制（如 Admission Webhook、ImagePolicyWebhook）和开源工具（如 Notary、Cosign、Kyverno）构建这一体系。
1.2 K8s环境下的镜像安全挑战
Kubernetes 的分布式架构和动态调度特性，使得镜像安全面临以下五大核心挑战：
| 挑战类别 | 具体风险 | 典型场景 |
|---|---|---|
| 供应链攻击 | 镜像层被篡改、基础镜像含漏洞、依赖库被投毒 | 从公共仓库拉取未验证的 Node.js 基础镜像 |
| 传输劫持 | 中间人攻击、镜像仓库凭证泄露、非 TLS 通信 | HTTP 协议拉取镜像，被注入挖矿程序 |
| 配置漂移 | 镜像标签被覆盖、latest 标签不可追溯、镜像被删除后重建 | 生产环境使用 :latest 标签，回滚时无法定位版本 |
| 准入失控 | 未签名的镜像被调度、恶意镜像绕过审计、策略缺失 | 开发者直接推送未扫描的镜像到生产集群 |
| 运行时逃逸 | 镜像内嵌后门、特权容器滥用、挂载敏感目录 | 容器内运行 curl 反弹 shell，突破容器隔离 |
行业数据： 根据 CNCF 2024 年安全调查报告，68% 的受访者表示曾遭遇过与镜像相关的安全事件，其中 42% 的事件源于未经验证的镜像仓库。
1.3 课程目标与学习路径
本课程旨在帮助学员掌握从镜像构建到运行的全链路安全通信能力，并具备在 K8s 环境中独立排查镜像相关故障的技能。课程分为四个阶段，循序渐进：
- 基础夯实： 理解镜像结构、OCI 标准、仓库认证机制（Docker Registry、Harbor、AWS ECR）。
- 签名与验证： 使用 Cosign 对镜像进行签名，配置 K8s 准入控制器强制验证签名。
- 准入控制实战： 编写和部署 ValidatingAdmissionPolicy、MutatingAdmissionWebhook，实现镜像来源、漏洞等级、标签规范等策略。
- 故障排查： 分析 ImagePullBackOff、ErrImagePull、签名验证失败等常见故障，掌握 kubectl describe、事件日志、Webhook 调试等排查手段。
1.4 课程适用人群与前置知识
- Kubernetes 运维/管理员： 需要加固集群镜像供应链，减少安全漏洞。
- DevOps 工程师： 负责 CI/CD 流水线中的镜像构建、签名和部署策略。
- 安全工程师： 希望深入理解 K8s 准入控制机制和镜像安全最佳实践。
- 前置知识： 熟悉 Docker 基本命令、Kubernetes Pod/Deployment 概念、kubectl 常用操作。
⚠️ 重要提示： 本课程所有实验均在隔离的 Kind 集群中进行，请勿在生产环境直接使用课程中的调试命令（如删除 Webhook 配置、强制拉取未签名镜像等）。课程提供的故障排查脚本仅用于学习目的。
1.5 课程实验环境概览
为了保障学习效果，课程提供标准化的实验环境配置。学员可以使用以下方式快速搭建：
# 使用 Kind 创建本地集群（推荐）
kind create cluster --name secure-image --config kind-config.yaml
# 安装 Cosign（用于镜像签名）
wget https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
chmod +x /usr/local/bin/cosign
# 部署 Kyverno（用于准入控制策略）
kubectl create -f https://raw.githubusercontent.com/kyverno/kyverno/main/config/install.yaml完整的实验环境清单和版本兼容性将在第二章中详细说明。