云原生安全架构设计：从镜像扫描到运行时保护

云原生安全架构设计：从镜像扫描到运行时保护

云原生安全的4C模型——Cloud、Cluster、Container、Code——每一层都需要独立的安全控制。Code层：IaC扫描（Checkov/tfsec）阻止在Terraform中打开安全组到0.0.0.0/0。Container层：镜像扫描（Trivy/Grype）在CI中阻断含Critical CVE的镜像进入仓库；使用distroless或scratch基础镜像将攻击面最小化。

Cluster层：Pod Security Admission设为restricted，禁止特权容器和hostPath挂载；网络策略（NetworkPolicy）默认拒绝所有Pod间通信，只显式放行必要流量。Cloud层：IAM最小权限——每个Service Account绑定的Role只包含该服务真正需要的权限，用Access Analyzer持续检测过度授权。云原生安全的核心原则：每个组件默认不安全，你必须显式地使它安全——这与传统数据中心”边界安全”的思维模式截然不同。