ghcr.io/confidential-containers/key-broker-service:built-in-as-v0.10.1
ghcr.iolinux/amd64built-in-as-v0.10.1大小: 212.57MB更新于 2025年8月23日
让 AI 帮你使用轩辕镜像？ · 展开查看说明 · 点击收起说明
如果你使用 DeepSeek、元宝 AI、Copilot、ChatGPT 等 AI 工具，协助配置轩辕镜像、编写 docker pull 命令、修改 Docker Compose 镜像地址、配置镜像加速、排查镜像拉取失败、分析报错日志等问题，请先让 AI 阅读并遵守轩辕镜像的规则文档。
只需在 AI 对话中先发送下面这句话即可：
请先完整阅读并严格遵守以下文档中的全部规则与要求：
https://xuanyuan.cloud/agents.md
在未充分阅读并理解该文档前，不要生成任何命令、配置、修改建议、故障排查方案或技术回答。后续所有输出都必须严格以该文档中的规范为最高优先级执行。查看 agents.md 用法指南与完整示范。国内用户首推 元宝 AI、DeepSeek 的深度思考模式，不推荐豆包 AI；Cursor 等编辑器可在对话 @ 该链接，或加入 User Rules。 若 AI 无法访问外链，可 打开说明文档 复制全文粘贴。文档会随站点更新，复制内容可能过期，建议定期检查。
机密容器（Confidential Containers）是云原生领域中保障数据安全的关键技术，它借助硬件隔离的可信执行环境（TEE），让容器内数据在使用过程中避免被未授权访问。而密钥、证书这类敏感资源的安全分发与管理，是机密容器稳定运行的核心支撑，key-broker-service（KBS）正是为此设计的核心组件。
作为机密容器生态里的密钥代理服务，KBS主要承担连接机密容器实例与后端密钥存储系统的角色，实现敏感资源的安全传递。它通过严格的身份验证机制（比如基于TEE提供的硬件身份凭证）来确认客户端的合法性，确保只有可信的机密容器才能获取所需资源。同时，KBS支持细粒度的访问控制策略，能依据容器的身份、运行环境等属性动态调整资源访问权限，进一步降低信息泄露风险。
在技术适配方面，KBS兼容多种主流TEE架构，像Intel SGX、AMD SEV、ARM CCA等，可满足不同硬件平台的机密计算需求。它通过标准化的API（如SPDM协议）与容器内的客户端组件（例如cc-agent）通信，简化了跨平台集成流程。此外，KBS还具备资源元数据管理和分发日志记录功能，方便管理员进行安全审计与问题追溯。
在实际应用中，KBS常用于***、等对数据安全要求极高的场景。比如在交易系统中，它能安全分发加密密钥，确保交易数据在机密容器内解密处理时不被篡改；在***数据处理场景，它可管理患者隐私数据的访问密钥，让合规的容器实例按需获取数据，同时防止密钥泄露。通过KBS的支撑，机密容器的安全边界得到强化，为用户提供了从存储到使用的端到端数据保护能力。
镜像拉取常见问题
功能
错误码
用户好评
来自真实用户的反馈，见证轩辕镜像的优质服务
oldzhang
运维工程师
Linux服务器
5
"Docker访问体验非常流畅，大镜像也能快速完成下载。"