作者 | 木环、大虎、壮怀
来源 | 凌云时刻（微信号：linuxpk）

“我们在2018年就有能力应对容器和云原生时代的安全挑战。”

容器和云原生时代的安全挑战和传统安全不同。

• 高密度与高动态

传统时代一台机器只跑几个应用，而现在在一台服务器会运行上百个应用，是原来十几倍的密度。另外考虑到容器的自动恢复等特性，上一刻的容器在A机器，下一刻就会随时漂移到另一台机器。

• 敏捷且快速迭代

容器 DevOps 化的应用发布非常频繁，是传统的几倍。

• 更多风险来源

在开放标准、软件行业社会化大分工的时代，越来越多不可信三方开源软件的引入也加剧了安全风险。而容器的这些特点都会对云原生安全提出了更高的要求。

2018年，为应对以上不断“嚣张”的挑战，阿里云容器服务团队提出了“端到端的企业级安全能力”概念，推出立体式的端到端云原生安全架构。

最底层依托阿里云平台的物理安全，硬件安全，虚拟化安全和云产品安全能力。

中间是容器基础设施安全层，基于最小化攻击面原则，提供了包括访问控制，权限收敛，配置加固和身份管理等重要的底座安全能力；同时针对凭证下发，证书、密钥，集群审计等用户访问链路上的安全要素，构建了对应的自动化运维体系。

顶层则针对容器应用从构建到运行的生命周期在供应链和运行时刻提供对应的安全能力，比如在构建阶段提供了镜像安全扫描和镜像签名能力；在部署和运行时刻，提供了集运行时策略管理，配置巡检，运行时安全扫描的一体化安全管理能力，同时支持安全沙箱容器和TEE机密计算技术，为企业容器应用提供更好的安全隔离性和数据安全私密性。

“我们保障容器应用全生命周期的安全。”

如今，容器安全充满新挑战。一方面，Kubernetes、helm、etcd等开源项目的高危漏洞频出。一方面，容器应用的生命周期越来越短，集群节点的容器应用部署密度也越来越高，传统的供应链侧的安全扫描已经很难将风险完全暴露。

面对以上全新挑战，阿里云容器服务ACK和容器镜像服务ACR在“基础架构—软件供应链—运行时”三层云安全架构基础上，还进行了2项成功的尝试：

纵深防御，构建从供应链到运行时的一体化安全流程
最小化攻击面，打造安全稳定的容器基础平台

由此搭建完成阿里云容器服务安全的整体架构，实现容器应用全生命周期的安全保障。

阿里云容器服务安全整体架构在用户的应用生命周期中：

• 应用的开发、测试和构建阶段

→ 用户可以在供应链侧通过镜像安全扫描提前暴露应用镜像中的安全风险

→ 企业级用户可以在阿里云容器镜像服务企业版 ACR EE 中开启指定仓库的镜像签名能力为推送镜像自动签名

• 应用部署前

→ 集群的安全管理员可以通过阿里云容器服务提供的统一策略管理平台，为不同集群内的应用系统提供定制化的安全治理性

• 应用成功部署后

→ 用户可以通过容器服务安全管理中心保护容器应用的运行时刻安全，构建整个容器安全的纵深防御能力

“我们有非常广泛的云原生应用实践。”

自2011年开启容器化进程，阿里在国内企业中率先将云原生技术体系大规模应用在电商、金融、制造等领域。

近十年来，选择了阿里云容器服务的客户对阿里云提出了各种各样的安全场景需求，如：

• 公司内部IT资产安全

某国际新零售巨头使用容器镜像服务 ACR 安全软件供应链的镜像加签和扫描，RAM角色进行系列度RBAC权限控制，服务网格全链路mTLS认证、证书管理和审计。

• 数据运转安全

某国际金融银行使用基于阿里云容器服务ACK的全链路数据加密和云安全中心运行时刻告警监控，同时搭配使用托管服务网格ASM进行应用东西向流量的细粒度控制。

• 高效管控各方权限

某国际游戏厂商进行了pod级别的控制层面云资源的权限隔离，外部KMS系统的密钥同步导入更新，数据平面系列度的权限控制，以及密钥管理确保容器敏感信息不会泄露。

经历以上典型需求的考验，阿里云沉淀了最丰富的云原生产品家族、最全面的云原生开源贡献、最大的容器集群和客户群体和广泛的云原生应用实践。

结语

2020年5月，Gartner发布《Solution Comparison for the Native Security Capabilities 》报告，首次全面评估全球TOP云厂商的整体安全能力。阿里云作为亚洲唯一入围厂商，其整体安全能力全球第二，11项安全能力被评估为最高水平（High）。
所以这次的先进级可信云安全能力认证为什么给阿里云，以上是阿里云容器服务团队的解答。