第 2 章 容器安全性
2.1. 了解容器安全性
保护容器化应用程序需要依赖于多个级别的安全性：
容器安全性从可信基础容器镜像开始，一直到经过您的 CI/CD 管道的容器构建过程。
重要默认情况下，镜像流不会自动更新。这个默认行为可能会造成安全问题，因为镜像流引用的镜像的安全更新不会自动进行。有关如何覆盖此默认行为的详情，请参阅配置定期导入 imagestreamtag。
- 部署容器时，其安全性取决于它运行在安全的操作系统和网络上，并在容器本身和与之交互的用户和主机之间建立明确界限。
- 持续安全性取决于能够扫描容器镜像以获取漏洞，并具有高效的方法来更正和替换有漏洞的镜像。
除了 OpenShift Container Platform 等平台提供的开箱即用的功能外，您的机构可能会有自己的安全需求。在将 OpenShift Container Platform 放入数据中心之前，可能需要进行一定程度的合规性验证。
同样，您可能需要将自己的代理、专用硬件驱动程序或加密功能添加到 OpenShift Container Platform 中，才能满足您机构的安全标准。
本指南全面介绍了 OpenShift Container Platform 中提供的容器安全措施，包括主机层、容器和编配层以及构建和应用程序层的解决方案。然后，它会指引您参考特定的 OpenShift Container Platform 文档以帮助您实现这些安全措施。
本指南包含以下信息：
- 为什么容器安全性很重要，以及它与现有安全标准相比较的情况。
- 哪些容器安全措施是由主机（RHCOS 和 RHEL）层提供的，哪些是由 OpenShift Container Platform 提供的。
- 如何评估您的容器内容和漏洞来源。
- 如何设计您的构建和部署过程，以主动检查容器的内容。
- 如何通过身份验证和授权控制对容器的访问。
- 如何在 OpenShift Container Platform 中保护网络和附加存储。
- 用于 API 管理和 SSO 的容器化解决方案。
本指南的目的是了解将 OpenShift Container Platform 用于容器化工作负载的极大安全优势，以及整个红帽生态系统在提供和保持容器安全方面发挥的作用。它还将帮助您了解如何与 OpenShift Container Platform 互动以实现您机构的安全目标。
2.1.1. 什么是容器？
容器将一个应用程序及其所有依赖项打包成单一镜像，可在不发生改变的情况下从开发环境提升到测试环境，再提升到生产环境。容器可能是大型应用程序的一部分，与其他容器紧密合作。
容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有云。
使用容器的一些好处包括：
| 基础架构 | 应用程序 |
|---|---|
| 在共享的 Linux 操作系统内核上将应用程序进程沙盒化 | 将我的应用程序及其所有依赖项打包 |
| 与虚拟机相比更简单、更轻便且密度更高 | 部署到任意环境只需几秒并启用 CI/CD |
| 可在不同环境间移植 | 轻松访问和共享容器化组件 |
请参阅红帽客户门户中的了解 Linux 容器以查找更多有关 Linux 容器的信息。如需了解有关 RHEL 容器工具的信息，请参阅 RHEL 产品文档中的构建、运行和管理容器。
2.1.2. OpenShift Container Platform 是什么？
OpenShift Container Platform 等平台的任务是自动化部署、运行和管理容器化应用程序。作为核心功能，OpenShift Container Platform 依赖于 Kubernetes 项目来提供在可扩展数据中心跨许多节点编配容器的引擎。
Kubernetes 是一个项目，可使用不同的操作系统和附加组件来运行，它们不提供项目的支持性保证。因此，不同 Kubernetes 平台的安全性可能会有所不同。
OpenShift Container Platform 旨在锁定 Kubernetes 安全性，并将平台与各种扩展组件集成。为实现这一目标，OpenShift Container Platform 利用了广泛的红帽开源技术生态系统，包括操作系统、身份验证、存储、网络、开发工具、基础容器镜像和其他许多组件。
OpenShift Container Platform 可以利用红帽的经验，发现平台本身以及在平台上运行的容器化应用程序中存在的漏洞并快速部署修复程序。红帽的经验还涉及到在新组件可用后高效地将它们与 OpenShift Container Platform 集成，以及根据各个客户的需求对技术进行调整。
