容器云平台的安全性设计.pdf

容器云平台的安全性设计

目录

1 容器云平台概述 .....................................................................................................................................................................01

2 容器云平台风险及挑战举例 ..................................................................................................................................................01

2.1 软件漏洞风险 . .........................................................................................................................................................................................................01

2.2 API安全风险............................................................................................................................................................................................................................02

2.3 镜像安全风险..........................................................................................................................................................................................................................02

2.4 网络安全风险..........................................................................................................................................................................................................................03

3 容器云平台安全设计..................................................................................................................................................................................03

1 容器云平台概述

近年来，云计算的模式逐渐被业界认可和接受。在国内，包括政府、金融、运营商、能源等众多行业以

及中小企业，均将其业务进行不同程度的云化。PaaS平台服务作为云计算三大服务之一，是近几年市场份

额同比增长最快的云计算服务。近年兴起的容器技术凭借其弹性敏捷的特性和活跃强大的社区支持成为了推

动PaaS发展的核心技术。基于容器技术构建的PaaS平台也称为容器云平台。

容器技术在操作系统层面实现了对计算机系统资源的虚拟化，在操作系统中，通过对 CPU、内存和文

件系统等资源的隔离、划分和控制，实现进程之间透明的资源使用。

容器云平台是通过容器编排引擎及容器运行时等技术提供应用运行平台，从而实现运维自动化、快速部

署应用、弹性伸缩和动态调整应用环境资源，进而提高研发运营的效率，目前市场上主流的容器云平台是基

于Google Kubernetes（简称k8s）容器编排引擎和容器引擎建立。本文中介绍内容也是针对此类的容器云

源版本相同，但本文不刻意针对OpenShift发行版本进行介绍。

2 容器云平台风险及挑战举例

作为平台级的容器环境，比以往任何的基础架构平台更加的接近业务，同时也包含了更多的层级和组

件，因此也带来了更多的风险；目前容器安全也是一个信息安全的新兴领域，该领域的技术和产品也在不

断完善中，下面我们先从风险的角度列举几个常见的例子，让大家对容器平台安全有个感性认识：

2.1 软件漏洞风险

容器的设计虽然实现了良好的操作系统级隔离，但同时也存在很多安全隐患，比如容器是运行在宿主

机上的一种特殊的进程，那么多个容器之间使用的就还是同一个宿主机的操作系统内核，其次在 Linux内

核中，有很多资源和对象是不能被 Namespace化的，最典型的例子是：时间，即如果某个容器修改了时

间， 那整个宿主机的时间都会随之修改，非计划内的修改系统时间，对于时间敏感的应用可能引起数据错