容器安全：给 transient 的工作负载上把锁
导语：容器生灭以秒计，传统基于主机的防护难以适配。容器安全要在镜像、运行时、编排三层同时设防。
一、为什么要关注
容器化让交付变快，但攻击面也变新：恶意镜像、提权逃逸、特权容器、配置过松都可导致宿主被控。政企在信创与云原生推进中大量采用容器，等保2.0对计算环境有要求，密评GB/T 39786关注运行环境可信。容器安全把防护嵌入"构建—分发—运行"全周期，避免"跑得快但不安全"。
二、核心原理
容器安全三层防护：镜像层做漏洞扫描、签名与来源校验；运行时层做行为监控（异常进程、提权、敏感挂载）与最小权限；编排层（如K8s，见98）做网络策略与准入控制。核心是"不可变基础设施"理念——镜像一旦构建即不可改，运行时偏离基线即告警，使环境可信、可复现。
容器安全的特殊风险在"瞬息生灭"与"共享内核"。容器生命周期以秒计，传统基于主机的防护难以适配；同宿主的容器共享内核，一处逃逸即波及其他。因此需在镜像、运行时、编排三层设防，并贯彻"不可变基础设施"——镜像构建后不可改，运行时偏离基线即告警，使环境可信、可复现、可追溯。
三、落地做法/步骤
- 镜像扫描：入仓前扫漏洞与恶意，阻断高危。
- 签名校验：仅运行已签名镜像。
- 最小权限：禁特权容器，降权运行。
- 运行时监测：监控异常进程与系统调用。
- 准入控制：非法配置拒绝调度。
- 基线固化：以不可变镜像保障一致。
容器安全要与K8s安全（见98）衔接：镜像可信是前提，编排层策略是落点。建议在CI阶段完成扫描与签名，在准入控制阶段拒绝不合规镜像，使"坏镜像进不来、特权容器起不来"。容器与编排协同设防，云原生环境才真正可信，逃逸与横向风险被压缩到最低。
四、与群晖NAS/信创云盘的对应能力
镜像与扫描报告需安全留存。群晖DS1525+、DS1825+可作为镜像仓库与报告的集中备份；信创云盘（软件化部署、支持信创）可作为容器安全策略、基线的共享空间，按角色授权、全程审计，满足等保2.0对计算环境安全与密评GB/T 39786对运行环境受控的要求。
五、常见误区
- 直接拉公网镜像，来源不可信。
- 特权容器泛滥，逃逸风险高。
- 只扫镜像不管运行时，逃逸漏防。
六、小结与行动建议
从"镜像扫描+最小权限"切入，运行要可监测、可准入、可审计。