安全体系概述
2025-04-21 11:14
本文从运行时安全、可信软件供应链和基础架构安全三个维度介绍阿里云容器服务Kubernetes版的安全体系，包括安全巡检、策略管理、运行时监控和告警、镜像扫描、镜像签名、云原生应用交付链、默认安全、身份管理、细粒度访问控制等。
本文从运行时安全、可信软件供应链和基础架构安全三个维度介绍阿里云容器服务Kubernetes版的安全体系，包括安全巡检、策略管理、运行时监控和告警、镜像扫描、镜像签名、云原生应用交付链、默认安全、身份管理、细粒度访问控制等。
安全合规在ACK集群托管架构下遵循责任共担原则，其中容器服务ACK负责集群控制面组件（包括Kubernetes控制平面组件和etcd）以及集群服务相关阿里云基础设施的默认安全性。本文介绍阿里云容器服务ACK的安全责任共担模型。 阿里云负责
容器服务ACK提供安全概览功能，支持对节点、容器镜像、容器运行时、工作负载配置进行风险识别及安全加固，可以帮助您提升云上资源和业务应用的安全治理效率。本文介绍如何使用容器服务ACK的安全概览功能。 使用说明
本系列文档旨在为企业安全管理运维人员提供使用容器服务 Kubernetes 版时的安全最佳实践。对使用ACK集群中您可能面临的安全挑战做了基本的分类，每个小类中包含了对安全问题的基本介绍和基于ACK的安全最佳实践。
本文介绍应用容器安全的常见问题及解决方案。 为什么容器之间网络不通？
容器服务ACK集群支持多种应用访问的形式，最常见的形式如<SLB-Instance-IP>:<Port>、<NodeIP
审计（Auditing）产生于API Server内部，用于记录对Kubernetes API的请求以及请求结果。ACK集群提供API Server的审计日志，帮助集群管理人员排查“什么人在什么时间对什么资源做了什么操作”，可用于追溯集群操作历史、排查集群故障等，降低集群安全运维压力。 <
容器内部操作审计功能可以方便您审计组织内成员或应用程序进入容器后执行的命令操作。本文介绍如何使用容器内部操作审计功能，以及如何通过日志服务收集分析审计日志，并根据需求为审计日志设置自定义的告警规则。 计费说明
ServiceAccount Token作为身份验证的凭证，使Pod中运行的应用程序可以安全地与Kubernetes API进行通信。为解决传统的ServiceAccount Token以Secret的形式自动挂载到Pod中可能带来的安全风险，您可以通过
ACK托管集群默认会创建一个所有节点共享的默认Worker RAM角色。当您通过Worker RAM角色为特定的应用授权时，权限将会共享给集群内所有的节点，可能会存在非预期的权限扩散的风险。您可以在创建节点池时为其指定一个自定义的Worker RAM角色，通过为不同的节点池分配特定的角色，降低在集群