用Kubescape Docker扩展保护你的Kubernetes集群

容器在企业中的应用持续增长，而Kubernetes已经成为部署和操作容器化应用的事实标准。同时，安全问题正在向左转移，应该在软件开发生命周期（SDLC）中更早地解决。安全已经从开发过程最后的静态关卡转变为（理想情况下）每一步需要注意的事情。这有可能会增加工程和DevOps团队的工作量。

Kubescape是一个最初由ARMO创建的CNCF项目，旨在解决上述问题。Kubescape提供了一个自助式的、简单且易于操作的安全解决方案，满足开发人员所在的环境：Docker Desktop。

Kubescape 是什么？

Kubescape是一个开源的Kubernetes安全平台，适用于你的IDE、CI/CD管道和集群。

Kubescape包括风险分析、安全合规性和错误配置扫描。针对所有的安全利益相关者，Kubescape提供了一个易于使用的CLI界面，灵活的输出格式，以及自动扫描功能。Kubescape为Kubernetes用户和管理员节省了时间、精力和资源。

Kubescape 是怎样工作的？

安全研究人员和专业人员编纂了控制方面的最佳实践：可以采取预防、检测或纠正措施来避免或遏制安全漏洞。这些由政府和非营利组织（例如美国网络安全和基础设施安全局、MITRE 和互联网安全中心）在框架中进行分组。

Kubescape 包含一个安全控制库，该库将源自业内最流行的安全框架的 Kubernetes 最佳实践编纂成文。这些控件可以针对正在运行的集群或正在开发的清单文件运行。它们是用 Rego 编写的，这是一种支持 Open Policy Agent (OPA) 的专用声明性策略语言。

Kubescape 通常用作命令行工具。它可用于手动扫描代码，也可由 IDE 集成或 CI 工具触发。默认情况下，CLI 结果以控制台友好的方式显示，但它们可以导出为 JSON 或 JUnit XML，呈现为 HTML 或 PDF，或提交到 ARMO 平台（Kubescape 的托管后端）。

可以使用集群内operator运行定期扫描，这还可以扫描容器映像以查找已知漏洞。

为什么将Kubescape作为Docker扩展运行？

Docker扩展是构建和整合软件应用程序到日常工作流程的基础。有了Kubescape Docker桌面扩展，工程师可以在不改变工作习惯的情况下，轻松地将安全左移。

Kubescape Docker桌面扩展帮助开发人员在第一行代码时就采用安全。如下图所示，Kubescape使工程师能够在SDLC的每一步写代码时采用安全。

具体来说，Kubescape的集群内组件会触发集群的定期扫描，并在ARMO平台上显示结果。仪表板上显示的结果可以进一步探索，扩展为用户提供补救建议和其他可操作的见解。

安装Kubescape Docker扩展

前提：Docker Desktop 4.8或更高版本。

第1步：初始设置

 必须在首选项下启用Kubernetes。

Kubescape在Docker Extensions Marketplace中。

在下面的说明中，我们将在Docker桌面中安装Kubescape。扩展自动扫描后，结果将显示在ARMO平台上。

第2步：添加Kubescape扩展

第3步：安装

第四步：注册和部署

目前，唯一可用的托管服务提供商是 ARMO 平台。我们期待尽快有更多的加入。

主机需要一个ARMO账户连接你的集群。

链接了你的账户后，就可以部署Kubescape了。

访问仪表板

安全合规性

改善你的集群安全态势的一个步骤是保护你免受错误配置所带来的威胁。

漏洞扫描

改善你的集群安全态势的另一个步骤是保护你免受图像中的漏洞所带来的威胁。

RBAC 可视化

Kubescape，使用ARMO平台作为额外查询和调查的门户，帮助你加强和维护你的安全态势。

下一步