云原生可观测性如何帮助企业实现容器镜像的安全加固

云原生可观测性通过提供全面的监控、日志分析和追踪能力，帮助企业实现容器镜像的安全加固。以下是具体的方法：

1. 镜像扫描：

容器镜像服务支持基于Linux的容器镜像安全扫描，可以识别镜像中已知的漏洞信息，并提供漏洞信息评估和修复建议，从而降低使用容器的安全风险。

例如，阿里云的容器镜像服务接入了云安全的扫描引擎，可支持镜像系统漏洞、镜像应用漏洞和镜像恶意样本的识别。

2. 镜像签名：

在容器镜像管理中，通过内容可信的机制保障镜像来源的安全性及不被篡改。镜像的创建者可以对镜像做数字签名，数字签名将保存在容器镜像服务中。在部署前对容器镜像进行签名验证可以确保集群中只部署可信授权方签名的容器镜像，降低运行意外或恶意代码的风险，确保从软件供应链到容器部署流程中应用镜像的安全和可溯源性。

3. 云原生应用交付链：

在容器安全高效交付场景中，可以使用容器镜像服务的云原生应用交付链功能，配置镜像构建、镜像扫描、镜像全球同步和镜像部署等，自定义细粒度安全策略，实现全链路可观测、可追踪的安全交付。保障代码一次提交，全球多地域安全分发和高效部署，将DevOps的交付流程全面升级成DevSecOps。

4. 基础架构安全：

默认安全：阿里云容器计算服务ACS集群节点，ControlPlane组件配置基于K8s安全基线加固，且集群内所有系统组件均依据容器安全最佳实践进行了组件配置上的加固，同时保证系统组件镜像没有严重级别的CVE漏洞。在托管集群的Worker节点上，遵循权限最小化原则，节点上绑定的RAM角色对应的阿里云资源访问权限经过了最小化收敛。

身份管理：ACS集群内所有组件之间的通讯链路均需要TLS证书校验，保证全链路通讯的数据传输安全，同时ACS管控侧会负责集群系统组件的证书自动更新。RAM账号或角色扮演用户均可以通过控制台或OpenAPI的方式获取连接指定集群API Server的Kubeconfig访问凭证，对于可能泄露的已下发Kubeconfig，可以及时进行吊销操作。

细粒度访问控制：通过细粒度访问控制策略，进一步增强容器镜像的安全性。