探索容器镜像安全管理之道

邓宇星，Rancher 中国软件架构师，7 年云原生领域经验，参与 Rancher 1.x 到 Rancher 2.x 版本迭代变化，目前负责 Rancher for openEuler(RFO)项目开发。

最近 Rancher v2.7.4 发布了，作为一个安全更新版本，也让大家对软件供应链安全多了一份思考。本文将围绕其中比较流行的容器镜像安全管理进行探讨和实践。

运行环境介绍

软件/操作系统	版本
Rancher	v2.7.4
Host OS: openEuler	22.03-LTS-SP1
K8s: RFO	v1.26.5+rfor1
cosign	v2.0.2
Harbor	v2.8.2
Client OS: MacOS	13.4
Kubewarden	v1.6.0

本次实践将使用最新版 Rancher v2.7.4 作为 K8s 集群管理工具。在此之上可安装 Kubewarden UI 作为可视策略管理工具。整体运行架构以及流程如下：

arch

使用 RFO 分发版作为本次下游 K8s 集群，RFO 为 Rancher for openEuler 的简称，是一个基于 openEuler 基础镜像的 RKE2 分发版。同时我们使用 openEuler 作为本次 K8s 的 Host OS，与 RFO 适配性更佳。

RFO 介绍与 Quick Start 请点击：https://gitee.com/openeuler/community/tree/master/sig/sig-rfo

本次使用 Harbor + cosign + Kubewarden 的组合，对容器镜像进行存储/签名/验证操作，cosign 与 harbor v2.5.0+版本有较好的兼容性，能直接在 harbor UI 上看到 cosign 证书配置。经测试 Harbor v2.1.1 版本也可使用 cosign 进行签名，只是 Harbor UI 上显示不太直观。

环境准备

• Harbor 安装请参考官网文档，请尽量使用 https 方式让 Harbor 对外提供服务，并使用可信的证书减少配置步骤。在本次实践当中，我们使用一个免费可信证书来规避此问题。
• cosign 安装参考