VIP20
本课程属于：075-容器运行时治理发布流水线 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

容器运行时发布前安全基线与窗口验证

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
课程导论
发布窗口防护的概念 · 在容器运行时治理中的重要性 · 课程目标与受众
课程导论发布窗口防护的概…
02
容器运行时基础
OCI运行时规范 · runc与crun · 容器与宿主机内核的关系
容器运行时基础OCI
03
发布流水线概述
CI/CD流水线在Kubernete… · 镜像构建与推送流程
发布流水线概述CI/CD
04
发布窗口定义
什么是发布窗口 · 窗口的时间粒度（天/小时/分钟） · 窗口的触发条件
发布窗口定义什么是发布窗口
05
防护验证目标
上线前需要验证的核心安全维度（镜像签… · 漏洞扫描 · 运行时策略）
防护验证目标上线前需要验证的…
06
镜像签名与验证
使用Cosign对镜像进行签名 · 在流水线中集成验证步骤
镜像签名验证
07
漏洞扫描集成
Trivy/Grype扫描器配置 · 阻断高危漏洞镜像进入生产环境
漏洞扫描集成Trivy/Grype
08
策略即代码（Policy as Code）
使用OPA/Gatekeeper定义…
Policyas
09
运行时安全基线
Seccomp · AppArmor · SELinux配置与发布窗口的联动检…
运行时安全基线Seccomp
10
网络策略验证
在发布前验证容器网络策略（Netwo…
网络策略验证Netwo
11
资源配额与限制
验证容器CPU/内存LimitRan… · ResourceQuota是否满足发…
资源配额限制
12
只读根文件系统
强制容器以只读根文件系统运行 · 在流水线中检查Dockerfile配…
只读根文件系统强制容器以只读根…
13
特权容器禁止
检测并阻断特权容器（privileg…
特权容器禁止privileg
14
主机端口与网络模式
验证容器是否使用了hostNetwo… · 并给出告警
主机端口网络模式
15
卷挂载安全
检查hostPath卷挂载 · 只读挂载策略 · 敏感路径保护
卷挂载安全hostPath
16
环境变量与密钥管理
验证敏感信息是否通过Secret挂载…
环境变量密钥管理
17
镜像来源白名单
只允许从受信任的镜像仓库拉取镜像 · 在流水线中实施仓库白名单检查
镜像来源白名单只允许从受信任的…
18
镜像标签策略
禁止使用latest标签 · 强制使用语义化版本或Git Comm…
镜像标签策略latest
19
多架构镜像验证
确保发布的镜像支持目标集群的CPU架…
多架构镜像验证CPU
20
Helm Chart验证
对Helm Chart进行lint · 模板渲染检查 · 安全配置审计
HelmChart
21
Kustomize与原生YAML验证
对Kustomize overlay…
KustomizeYAML
22
准入控制器集成
在发布流水线中调用Validatin…
准入控制器集成Validatin
23
灰度发布与金丝雀验证
在发布窗口内自动执行金丝雀部署并监控…
灰度发布金丝雀验证
24
回滚策略与防护
定义自动回滚条件 · 在发布窗口内保留回滚能力
回滚策略防护
25
审计日志与可观测性
记录所有发布验证事件 · 集成到ELK或Loki中
审计日志可观测性
26
告警与通知机制
当验证失败时通过Slack/Page…
告警通知机制
27
多集群发布窗口同步
在跨区域/跨集群发布时保持窗口一致性
多集群发布窗口同…跨区域
28
性能压测与资源预检
在发布前对容器进行压力测试 · 验证资源预留是否充足
性能压测资源预检
29
混沌工程与故障注入
在发布窗口内模拟容器故障 · 验证系统韧性
混沌工程故障注入
30
课程总结与最佳实践
回顾关键防护点 · 推荐工具链 · 持续改进路线图
课程总结最佳实践