1. 课程导论：镜像供应链安全面临的挑战、冷启动削峰与权限变更风险
1.1 镜像供应链安全：从构建到运行的攻击面
云原生环境下，容器镜像已成为应用交付的核心载体。然而，镜像从代码提交、CI/CD 构建、制品仓库存储到最终在 Kubernetes 集群中运行，整个链条暴露了多个攻击面。攻击者可以通过篡改基础镜像、注入恶意依赖、劫持构建管道或利用镜像漏洞，将恶意负载带入生产环境。
镜像供应链安全的核心挑战可归纳为以下四个维度：
| 维度 | 典型风险 | 影响范围 |
|---|---|---|
| 镜像来源 | 使用不可信或未签名的公共镜像；镜像仓库被篡改 | 基础镜像层被植入后门 |
| 构建过程 | Dockerfile 引入已知漏洞的依赖；构建缓存投毒 | 应用层存在可被利用的 CVE |
| 镜像分发 | 镜像拉取过程中被中间人替换；镜像标签被覆盖 | 运行时的镜像内容与预期不一致 |
| 运行时准入 | 未经验证的镜像直接部署到集群；特权容器滥用 | 容器逃逸、权限提升、数据泄露 |
关键洞察： 镜像供应链安全不是单一环节的问题，而是从“代码到运行时”的全链路信任传递。任何一个环节的信任断裂，都可能导致整个集群的安全基线失效。
1.2 冷启动削峰：镜像拉取风暴与策略性能瓶颈
在 Kubernetes 集群中，“冷启动”通常指新节点加入、大规模扩缩容或 HPA 触发时，大量 Pod 同时调度到同一节点，引发镜像拉取并发请求激增。这种现象被称为镜像拉取风暴，它会导致以下问题：
- 镜像仓库过载： 并发拉取请求超过仓库限流阈值，导致拉取失败或超时。
- 节点启动延迟： Pod 启动时间从秒级延长到分钟级，影响业务可用性。
- 网络带宽争抢： 大量镜像层数据同时传输，挤占正常业务流量。
- 策略引擎压力： 准入控制器在短时间内需要评估大量 Pod 创建请求，策略评估成为瓶颈。
冷启动削峰的核心目标是在保证安全的前提下，通过策略手段平滑镜像拉取流量，避免资源过载。Kyverno 作为 Kubernetes 原生的策略引擎，可以在准入阶段实现以下削峰策略：
| 削峰策略 | 实现方式 | Kyverno 能力 |
|---|---|---|
| 镜像预热准入 | 只允许已缓存在节点上的镜像启动 | Mutate 策略注入节点亲和性 |
| 拉取速率限制 | 限制同一时间段内的拉取请求数 | Validate 策略配合外部限流服务 |
| 镜像来源分级 | 优先允许可信仓库的镜像，延迟拉取第三方镜像 | Validate 策略检查镜像仓库域名 |
| Pod 启动优先级 | 根据业务等级设置不同的启动优先级 | Mutate 策略注入 PriorityClass |
实践建议： 冷启动削峰不是禁用镜像拉取，而是通过策略建立“安全缓冲区”。在集群规模超过 100 节点时，建议结合 Kyverno 的 BackgroundScan 和 ReportChangeRequest 机制，提前发现并处理镜像合规问题，减少准入阶段的实时计算压力。
1.3 权限变更风险：最小权限原则的动态维护
Kubernetes 的权限模型基于 RBAC（基于角色的访问控制），但在实际运维中，权限变更频繁且难以追踪。权限变更风险主要体现在以下场景：
- ClusterRole 过度授权： 新增的 ClusterRole 可能包含 * 通配符，导致 ServiceAccount 获得超出预期的权限。
- RoleBinding 绑定错误： 将高权限 Role 绑定到非预期的命名空间或用户。
- 权限扩散： 通过多个 RoleBinding 组合，间接获得敏感操作权限。
- 废弃权限残留： 删除的 ServiceAccount 对应的 RoleBinding 未被清理，形成权限僵尸。
权限变更风险的核心在于最小权限原则的动态维护——权限不是静态配置，而是随着业务变化持续演进的。Kyverno 在权限变更风险控制中的核心价值体现在：
- 准入校验： 在 RBAC 资源创建或更新时，自动校验是否违反预定义的权限基线。
- 变更审计： 记录所有 RBAC 变更事件，生成审计报告。
- 自动修复： 对不符合策略的权限变更进行自动拒绝或降权处理。
- 基线漂移检测： 定期扫描集群中的 RBAC 配置，发现与基线不一致的权限。
1.4 Kyverno 在策略评审中的核心价值
Kyverno 是专为 Kubernetes 设计的策略引擎，它使用 Kubernetes 资源（Policy/ClusterPolicy）来定义策略，无需学习新的策略语言。在镜像供应链安全、冷启动削峰和权限变更风险控制中，Kyverno 提供了以下核心价值：
| 能力维度 | 具体价值 | 对应场景 |
|---|---|---|
| 声明式策略 | 策略即代码，可版本化管理，支持 GitOps 流程 | 镜像签名验证、仓库白名单 |
| 多模式支持 | Validate / Mutate / Generate / VerifyImages 四种模式 | 准入校验、自动注入、镜像验证 |
| 上下文感知 | 可查询集群内其他资源状态，实现关联策略 | 检查 RBAC 绑定是否引用已删除的 ServiceAccount |
| 性能优化 | 支持预计算、缓存、异步扫描，减少准入延迟 | 冷启动削峰场景下的策略评估 |
| 审计与报告 | 自动生成 PolicyReport 和 ClusterPolicyReport | 权限变更审计、合规性检查 |
课程定位： 本课程将深入讲解如何利用 Kyverno 的上述能力，构建一套覆盖镜像供应链安全、冷启动削峰和权限变更风险控制的策略体系。你将学习到从策略设计、编写、测试到生产部署的全流程最佳实践，并通过真实案例掌握策略评审的关键技巧。
在后续章节中，我们将逐一拆解每个场景的策略实现细节，包括：
- 如何使用
verifyImages规则验证镜像签名和来源。 - 如何通过
Mutate策略实现镜像拉取削峰。 - 如何编写
Validate策略检测 RBAC 权限变更风险。 - 如何利用
BackgroundScan进行集群范围的权限基线漂移检测。