描述

• 部署前对镜像进行扫描，对不符合安全策略的镜像进行屏蔽。在Kubernetes环境中，准入控制器可用于在容器部署请求经过身份验证之后，但在容器部署之前验证映像。

• 将与容器服务的通信限制为受管理和安全的通道，例如本地Unix套接字或通过SSH进行远程访问。通过禁用对Docker API、Kubernetes API Server和容器编排网络应用程序未经身份验证的访问，需要安全端口访问以通过TLS与API通信。在云环境下部署的Kubernetes集群中，使用原生云平台特性限制API服务器允许访问的IP范围。在可能的情况下，考虑启用对Kubernetes API的即时(JIT)访问，从而对访问施加额外的限制。

• 拒绝通过使用网络代理、网关和防火墙直接远程访问内部系统。

• 通过将容器指示板的访问权限限制为只有必要的用户来执行最小权限原则。当使用Kubernetes时，避免给用户通配符权限或将用户添加到system:masters组，并使用RoleBindings而不是ClusterRoleBindings来限制用户对特定命名空间的权限。