1. 云原生安全概述
1.1 云原生安全定义
云原生安全（Cloud-Native Security）是指在云原生架构（容器、微服务、服务网格、声明式 API、不可变基础设施）下，将安全控制内嵌到应用与基础设施全生命周期中的方法论与实践体系。其核心思想是 “安全左移” 与 “安全持续化”——从开发阶段即引入安全策略，并在 CI/CD 流水线、运行时环境中持续执行。
关键特征：
- 不可变基础设施： 镜像不可变，运行时只运行经过签名的可信容器。
- 声明式安全策略： 通过 Kubernetes 原生资源（NetworkPolicy、PodSecurity、OPA/Gatekeeper）声明安全边界。
- 零信任网络： 默认拒绝所有流量，仅允许显式授权的服务间通信。
- 可观测性驱动： 安全事件、审计日志、指标与链路追踪构成安全态势感知基础。
1.2 安全基线概念
安全基线（Security Baseline）是组织为云原生环境设定的最低安全要求集合。它定义了“可接受的最小安全配置”，是初始策略组与参数调优的起点。安全基线通常来源于行业标准（如 CIS Benchmarks、NIST SP 800-190）、合规要求（PCI DSS、SOC 2）以及内部风险偏好。
| 维度 | 基线示例 | 对应 Kubernetes 资源 |
|---|---|---|
| 容器镜像 | 禁止使用 latest 标签；必须使用签名镜像 | ImagePolicyWebhook、Cosign 验证 |
| Pod 安全 | 禁止特权容器；只读根文件系统；禁止 hostNetwork | PodSecurity Admission / PSA |
| 网络策略 | 默认拒绝所有入站/出站流量；仅开放必要端口 | NetworkPolicy |
| RBAC | 最小权限原则；禁止绑定 cluster-admin 给普通用户 | Role / ClusterRole / RoleBinding |
| 审计日志 | 启用 API Server 审计日志；保留至少 90 天 | AuditPolicy / 日志后端 |
实践建议： 安全基线不是静态文档，应随业务变化、新漏洞披露、合规更新而定期评审。建议每季度进行一次基线审计。
1.3 初始策略组与参数调优的重要性
在云原生环境上线初期，团队往往面临“安全策略过严影响业务交付”与“策略过松导致安全风险”的两难。初始策略组（Initial Policy Set）与参数调优（Parameter Tuning）正是解决这一矛盾的关键手段。
- 初始策略组： 基于安全基线，在集群创建或应用部署时一次性注入的策略集合。包括 Pod 安全标准（PSA）、网络隔离策略、资源配额、OPA/Gatekeeper 约束模板等。
- 参数调优： 在策略执行过程中，根据实际运行数据（告警频率、误报率、性能开销）对策略参数进行迭代调整，达到安全与效率的平衡。
常见误区： 很多团队在初始阶段直接套用“最严格”策略，导致大量合法 Pod 被拒绝、开发效率骤降。正确的做法是：先以“审计模式”部署策略，收集违规数据，再逐步切换为“强制执行”并调优参数。
1.4 初始策略组与参数调优的核心价值
| 价值维度 | 说明 | 典型收益 |
|---|---|---|
| 降低攻击面 | 初始策略组关闭高危配置（如特权容器、hostPath 挂载） | 减少 70% 以上容器逃逸风险 |
| 减少误报 | 参数调优根据实际流量调整告警阈值，过滤噪声 | 误报率从 40% 降至 5% 以下 |
| 加速合规 | 基线策略直接映射合规要求，审计证据自动生成 | 合规审计准备时间缩短 80% |
| 提升开发效率 | 避免“一刀切”严格策略，通过白名单/例外机制保障业务 | 部署失败率降低 60% |
| 持续改进 | 反馈闭环使安全策略随业务演进动态优化 | 策略更新周期从月级缩短到天级 |
1.5 本章小结
- 云原生安全 是内嵌于全生命周期的安全实践，强调不可变基础设施、声明式策略与零信任。
- 安全基线 是最低安全要求集合，是初始策略组的输入来源。
- 初始策略组 在集群上线时一次性注入，参数调优 通过运行数据持续优化策略效果。
- 正确的实施路径：定义基线 → 注入策略 → 审计模式 → 调优参数 → 强制执行 → 持续监控，形成闭环。