云原生与容器

容器隔离、Docker 引擎面、编排与云身份。
文章数：16

本章建立云原生部署的组件安全模型：镜像与运行时隔离、引擎 API、特权与挂载、Kubernetes 控制面/策略网络、IMDS/云 IAM，以及 Secrets、服务网格与运行时检测。经 Web 入口打到 IMDS/Docker 的利用步骤见 ssrf 相关专篇，本章不重复 Payload 教程。

与 框架与中间件、代码审计 的分工：middleware 管服务端应用栈；audit 管如何在源码中找路径；cloud 管容器/编排/云身份边界。

---

文章目录

概论与运行时

• 云原生与容器 — 章节定位、四层威胁、与 vuln/audit 分界
• 容器隔离模型 — 共享内核、namespace/cgroup/capability
• Docker Socket 与引擎 API — Socket/2375 暴露、信任边界洞穿
• 特权、Capability 与敏感挂载 — privileged、caps、hostPath/hostNetwork
• 镜像供应链 — 分层信任、构建管道、签名与密钥不进镜

Kubernetes

• Kubernetes 概论 — 控制面/数据面、默认信任边
• RBAC 与 ServiceAccount — 角色绑定、Token 挂载、最小权限
• 准入控制 — PSA、镜像策略、webhook
• etcd 与控制面数据存储 — 暴露面、TLS、备份侧信道
• NetworkPolicy — 默认拒绝、东西向收敛

云身份与案例

• IMDS 与云 IAM 加固 — 三道闸、节点角色 vs Pod SA
• 多云元数据与身份差异 — 厂商入口对照、托管责任边界
• 云原生案例 — IMDS、Socket、SA、扁平网络、供应链

深化

• Secrets 与密钥分发 — Secret 边界、分发模式、门禁
• 服务网格与 mTLS — STRICT/PERMISSIVE、与 NetworkPolicy 分工
• 运行时检测 — 行为检测边界、规则与预防优先级

后续可选

分组	候选
平台	OpenShift 等发行版专篇
专题	特定 CNI/CSI 深度、多集群联邦

---

阅读路径

00-intro → container-model → docker-socket · privileged → image-supply-chain
  → k8s-intro → k8s-rbac → admission · etcd · network-policy
  → imds-iam → multi-cloud → cases
  → secrets · service-mesh · runtime-detection
  ↔ vuln/ssrf：docker-api · metadata · cloud · etcd

---

返回首页 · Web 漏洞 · 代码审计