3同行回答
1 容器云安全可细分为：平台和基础设施安全、应用安全、运行安全三类。
--- 平台和基础设施安全：加固宿主机节点的主机安全、容器引擎的技术安全、容器集群各组件的技术安全、容器平台的访问管控安全。
--- 应用安全：解决镜像仓库安全、应用系统的镜像安全问题
--- 运行安全：解决基于安全闭环的合规审计。运行态的南北流量中的入侵检测、入侵拦截等安全防护问题，以及东西流量中的网络微隔离和网络阻断安全问题。 还需要在检测和监控中提供资产管理，补丁管理，提供统一日志、监控、可视化、故障定位等支持能力。
2 在预防后还是发生问题时，应急措施可以分问题场景，譬如对南北流量做入侵拦截，在东西流量中做网络阻断。对业务应用系统CVE漏洞进行镜像安全补丁加固升级或运行降级。对集群进行CI S审计和安全加固处理。
收起目前较为主流的方案都分了3大块，从构建、部署到运行全生命周期去做容器云的安全管控。具体会涉及到镜像安全、供应链安全、访问控制、入侵检测、权限管控、安全审计、容器资产、平台安全等等方面。一般也都是通过在容器云平台部署相关的安全组件来实现。
收起容器云集群安全涉及到的层面较多，覆盖的范围较广，自下而上梳理主要有以下几点：
<1>基础设施资源安全。基础设施资源主要涉及到网络安全和存储安全，容器云平台要能够灵活的定义各种网络策略，对pod的流量进行限制，隔离。同时容器的数据不能放在容器内的存储上，包括日志数据。数据要及时采集备份到外部的数据中心。数据中心要有完善的安全措施。
<2>基础组件安全。容器云平台需要实现统一认证中心和权限中心等基础组件，这是建立企业级微服务平台和微服务生态系统的要求，也是实现单点登录、基于角色的权限管理、授权认证、访问控制等安全能力的要求。
<3>容器安全。作为使用k8s的开发或者运维人员，主要关注点应该是如何防止在容器中运行的进程逃离容器的隔离边界并获得对宿主机的访问权限，应尽可能避免使用以特权身份（privileged）运行Pod，同时为每个容器设置请求和资源限制，避免资源争夺或DoS攻击。
<4>镜像安全。容器是镜像的运行时，镜像安全直接影响着容器的安全。如果镜像存在安全隐患，容器云平台就面临着威胁。所以镜像仓库的镜像安全扫描能力就显得尤为重要。容器云集群要具备完善的漏洞扫描修补机制。
<5>devops流程安全。持续集成代码安全，包括安全的代码存储，编码的安全，预防编码中潜在的漏洞和Sql注入等。实现自动的代码质量检查和代码漏洞检查，自动化测试等能力。同时，devops流程中一些关键的环节，比如生产环境部署要建立审批机制。
<6>日志和审计能力。在容器云集群中，建立完备的日志审计能力，可以帮助集群管理人员记录或追溯不同用户的日常操作，发现异常操作及时告警，及时处理，是集群安全运维中重要的环节。