容器镜像安全

本篇是第六部分“安全篇”的第一篇，在这个部分，我将用四篇内容为你介绍包括镜像，容器和 Linux 内核的 LSM 等内容。本篇，我们将重点放在容器镜像安全上。

通过前面内容的学习，我们已经知道用 Docker 启动容器的一个必备前提是需要有镜像存在，无论该镜像是存储在本地还是从 registry 下载。

在我们启动容器时，对镜像内容本身是无法进行修改的，如果我们使用了被攻击的恶意镜像，那很可能会带来各种安全问题。

通常情况下，我们提到容器镜像安全，主要是指两个方面：镜像自身内容的安全和镜像分发安全。我分别从这两个方面为你介绍。

镜像自身内容安全

镜像中包含了很多内容，比如基本的 rootfs，此外如果是应用程序的镜像，还会包含应用程序的代码或者二进制文件等。我们先来看看如何检查镜像是否安全。

检查镜像安全

现在已经有很多工具可以帮我们完成这类事情了，比如很老牌的出自 CoreOS 的 Clair （现在属于 Quay 了），或是 Anchore 家的 Anchore Engine 等。

这些工具大多都是通过分析镜像各层中的内容，并根据已有的漏洞数据库进行对比，从而判断