容器安全最佳实践

Thu, 13 Aug 2026 12:20:00 +0800

容器已成为现代应用部署的标准载体，但容器的轻量和共享内核特性也带来了新的安全挑战。本文从镜像构建到运行时防护，系统讲解容器安全的最佳实践。

1. 容器安全生命周期

┌─────────────────────────────────────────────────────────────┐
│ 容器安全生命周期 │
├─────────────────────────────────────────────────────────────┤
│ │
│ 开发 构建 分发 运行 销毁 │
│ │ │ │ │ │ │
│ ▼ ▼ ▼ ▼ ▼ │
│ 依赖扫描 镜像扫描 签名验证 运行时防护 审计清理 │
│ SAST/SCA Trivy Cosign Falco 日志归档 │
│ │
└─────────────────────────────────────────────────────────────┘

2. 镜像安全

2.1 最小镜像原则

# ❌ 不安全：包含 shell、包管理器、调试工具
FROM ubuntu:22.04
RUN apt-get update && apt-get install -y python3 curl
COPY app.py /app/
CMD ["python3", "/app/app.py"]

# ✅ 安全：Distroless，无 shell、无包管理器
FROM python:3.11-slim AS builder
WORKDIR /app
COPY requirements.txt .
RUN pip install --user --no-cache-dir -r requirements.txt

FROM gcr.io/distroless/python3-debian12
WORKDIR /app
COPY --from=builder /root/.local /home/nonroot/.local
COPY app.py .
USER nonroot:nonroot
ENV PATH=/home/nonroot/.local/bin:$PATH
CMD ["app.py"]

基础镜像	大小	Shell	包管理器	适用
Ubuntu/Debian	~80MB	✅	✅	开发调试
Alpine	~5MB	✅	apk	权衡选择
Distroless	~20MB	❌	❌	生产推荐
Scratch	~0MB	❌	❌	Go 静态编译

2.2 多阶段构建

# 编译阶段（包含编译工具）
FROM golang:1.21-alpine AS build
WORKDIR /src
COPY . .
RUN CGO_ENABLED=0 go build -o /bin/app ./cmd/app

# 最终阶段（仅二进制）
FROM scratch
COPY --from=build /bin/app /app
COPY --from=build /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
ENTRYPOINT ["/app"]

2.3 镜像扫描

# Trivy 扫描
trivy image myapp:latest

# 只关注严重/高危
trivy image --severity CRITICAL,HIGH myapp:latest

# 镜像签名（Cosign）
cosign generate-key-pair

cosign sign --key cosign.key myregistry/myapp:latest

cosign verify --key cosign.pub myregistry/myapp:latest

3. Dockerfile 安全基线

# ✅ 使用官方镜像，指定具体版本
FROM python:3.11.6-slim-bookworm

# ✅ 创建非 root 用户
RUN groupadd -r appgroup && useradd -r -g appgroup appuser

# ✅ 设置工作目录
WORKDIR /app

# ✅ 先复制依赖，利用缓存层
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# ✅ 再复制应用代码
COPY --chown=appuser:appgroup . .

# ✅ 只暴露需要的端口
EXPOSE 8080

# ✅ 切换到非 root 用户
USER appuser:appgroup

# ✅ 使用 HEALTHCHECK
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s \
 CMD curl -f http://localhost:8080/health || exit 1

# ✅ 明确 ENTRYPOINT/CMD
ENTRYPOINT ["python"]
CMD ["app.py"]

3.1 Dockerfile 安全检查清单

检查项	说明
使用特定版本标签	不用 `latest`
最小基础镜像	Distroless/Alpine/Scratch
非 root 运行	`USER` 指令
不暴露不必要端口	最小化攻击面
敏感数据不入镜像	用 Secret/环境变量
使用 COPY 而非 ADD	ADD 会自动解压 URL
多阶段构建	分离编译时依赖
扫描依赖漏洞	SCA 工具

4. Linux 安全机制

4.1 Capabilities（能力）

# 默认 Docker 容器会 drop 大部分 capabilities
# 只保留必要的：

# 查看容器 capabilities
docker run --rm alpine:latest capsh --print

# 运行容器时移除所有 capabilities，只添加需要的
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE nginx

# Kubernetes
capabilities:
 drop:
 - ALL
 add:
 - NET_BIND_SERVICE

常见 Capabilities：

Image Security on PlumePHP

容器安全最佳实践

1. 容器安全生命周期

2. 镜像安全

2.1 最小镜像原则

2.2 多阶段构建

2.3 镜像扫描

3. Dockerfile 安全基线

3.1 Dockerfile 安全检查清单

4. Linux 安全机制

4.1 Capabilities（能力）