Aqua容器安全解决方案.pdfVIP

Aqua容器安全解决方案

POC测试步骤

edvance

安领科技

2017-10-27

Version[1.0]

版权说明

包含于此篇文档中的信息属于商或财务机密（或授权）信息。文档为安

领有限公司所专有，且只用于评估目的，除非被安领有限公司授权，否则

此文档的全部或者部分信息不得用于再版或者引用。

版本历史

日期版本描述

2017-10-271.0

内容

1.准备工作5

2.镜像扫描6

2.1白名单镜像6

2.2禁止未扫描镜像运行6

2.3镜像安装包的黑白名单6

2.4自定义规则扫描镜像6

2.5包含敏感信息的镜像7

2.6结合JENKINS进行镜像扫描7

3.威胁阻止9

3.1PROCESSLIMITS9

3.2只允许LINK内容器互相通信9

4.徽感信息管理10

4.1自纳管SECRET10

4.2CYBERRK纳管SECRET10

5.容器运行限制12

5.1以指定用户运行容器12

5.2限制容器运行时的只读文件13

5.3限制容器运行时的可执行命令14

5.4限制CONTINER运行时的进出网络15

5.5黄金镜像一保证CONTINER不对容器内任何文件进行修改16

5.6限制CONTINER不以特权模式运行17

5.7限制CONTINER挂我的数据卷17

5.8自主学习并生成安全规则18

5.9限制容器运行时使用的资源及进程数19

5.10环境变量加密20

6.网络控制21

6.1容器与HOST之间网络限制21

6.2容器与容器间的网络限制21

7.主机权限管控23

7.1角色权限管控23

7.2自定义R01E角色23

7.3通过IMGE的LBEL来分发权限24

8.其他25

8.1ROOTPLESE容器修改主机配置文件25

8.2私有REGISTRY搭建25

8.3SWRM部署QUGENT26

8.4RNCHER部署QUGENT27

1.准备工作

在DockerHost主机上安装完AquaServer环境后，可执行以下步骤将测试用镜像及配置文件导入到环境

中。

1.将optfolder下的文件夹上传到DockerHost的/opt路径下

2.通过df-命令确保测试主机/var路径挂载磁盘剩余空间大于10G,否则导入镜像会导致磁盘满

3.将测试镜像上传到DockerHost主机内，并通过dockerloadstar包路径，来导入测试镜像

4.登录AquaWeb端lmages»Addimages»localengine,手动逐一添加步骤2里导入的镜像文件。

除了imagescan/labeltest外都导入，此镜像将用于未扫描镜像测试。