neuvector/neuvector-operator

NeuVector 全生命周期容器安全平台 Operator 镜像文档

一、镜像概述和主要用途

1.1 镜像概述

本镜像是部署 NeuVector 全生命周期容器安全平台的 Kubernetes Operator 镜像。NeuVector 是业界领先的全生命周期容器安全解决方案，通过 Operator 模式实现自动化部署、配置与管理，为容器环境提供端到端安全防护。

1.2 主要用途

提供从 DevOps 阶段漏洞检测到生产环境运行时防护的全生命周期容器安全保障，覆盖漏洞扫描、合规检查、网络隔离、威胁检测与响应等核心场景，适用于 Kubernetes 及 OpenShift 集群环境。

二、核心功能和特性

2.1 端到端安全覆盖

• DevOps 阶段：集成 CI/CD 流水线，自动化执行容器镜像漏洞扫描、合规性检查（如 CIS Benchmark）及配置审计。
• 运行时阶段：实时监控容器行为，检测异常进程、文件篡改、网络***（如 SQL 注入、DDoS）等威胁，并支持自动响应（如隔离、终止异常容器）。

2.2 云原生与自动化

• 基于 Kubernetes Operator 模式设计，支持声明式配置与自愈能力，适配动态扩缩容场景。
• 自动化策略生成：通过机器学习分析容器正常行为基线，减少人工规则配置成本。

2.3 下一代容器防火墙

• 业内唯一支持 L3-L7 层容器网络可视化与控制的专用防火墙，精确管控 Pod 间通信。
• 支持基于命名空间、标签、服务账户的细粒度访问控制策略，适配 Kubernetes 微服务架构。

2.4 数据包级检测与执行

• 深度解析容器网络流量，支持协议识别（HTTP、HTTPS、MySQL 等）与 payload 检测，实现精准威胁拦截。
• 基于内核态技术实现高性能数据包处理，避免性能瓶颈。

2.5 多环境支持

• 原生兼容 Kubernetes、OpenShift 集群，支持多云（AWS、Azure、GCP）及混合云部署。

三、使用场景和适用范围

3.1 适用环境

• Kubernetes 集群（v1.19+）、OpenShift 集群（v4.6+）。
• 容器化应用部署环境（微服务架构优先）。
• DevOps 流水线（Jenkins、GitLab CI、GitHub Actions 等）。

3.2 典型使用场景

• DevSecOps 集成：在 CI/CD 流程中嵌入镜像漏洞扫描，阻断高危镜像进入生产环境。
• 生产环境防护：监控容器运行时行为，防御供应链***、横向移动等威胁。
• 多集群安全管理：通过中心控制台统一管理跨集群安全策略与告警。
• 合规审计：满足 GDPR、PCI-DSS 等合规要求，生成安全审计报告。

四、详细使用方法和配置说明

4.1 前置条件

• Kubernetes 集群（v1.19+）或 OpenShift 集群（v4.6+），集群节点需支持特权容器运行（用于网络检测组件）。
• 集群管理员权限（用于部署 Operator 及相关 CRD）。
• Helm v3.5+（推荐部署方式）或 kubectl 工具。

4.2 部署步骤

4.2.1 部署 Operator（Helm 方式）

1. 添加 NeuVector Helm 仓库：

   bash
   helm repo add neuvector https://neuvector.github.io/neuvector-helm/
   helm repo update
   

2. 安装 Operator（默认部署至 neuvector 命名空间）：

   bash
   helm install neuvector-operator neuvector/neuvector-operator \
     --namespace neuvector --create-namespace \
     --set image.repository=neuvector/operator \  # 指定 Operator 镜像地址
     --set image.tag=latest  # 指定镜像版本
   

4.2.2 创建 NeuVector 实例（自定义资源）

通过创建 NeuVector 自定义资源（CR）配置平台部署参数：

yaml
# neuvector-instance.yaml
apiVersion: neuvector.com/v1alpha1
kind: NeuVector
metadata:
  name: neuvector-instance
  namespace: neuvector
spec:
  # 控制平面配置
  controller:
    replicas: 3  # 高可用部署（推荐 ≥3）
    resources:
      limits:
        cpu: "1"
        memory: "1Gi"
  # 扫描器配置
  scanner:
    replicas: 2
    scanOnPush: true  # 启用镜像推送时自动扫描
  # 执行器配置（运行时防护组件）
  enforcer:
    hostNetwork: true  # 使用主机网络以监控节点流量
    resources:
      limits:
        cpu: "500m"
        memory: "512Mi"
  # 安全策略配置
  security:
    defaultPolicy: "deny-all"  # 默认拒绝未授权网络通信

应用配置：

bash
kubectl apply -f neuvector-instance.yaml -n neuvector

4.3 核心配置参数

4.3.1 Operator 环境变量

4.3.2 NeuVector CR 关键字段

4.4 部署验证

1. 检查 Operator 及 NeuVector 组件运行状态：

   bash
   kubectl get pods -n neuvector
   # 预期输出包含 operator、controller、scanner、enforcer 等 Pod，状态均为 Running
   

2. 访问 NeuVector Web 控制台（默认通过 NodePort 或 Ingress 暴露，端口可通过 kubectl get svc -n neuvector 查看），默认账号密码：admin/admin。

五、注意事项

• 生产环境建议配置持久化存储（用于日志、策略数据），并启用 TLS 加密（控制台及组件间通信）。
• 扫描器资源消耗与镜像数量正相关，建议根据实际需求调整 scanner 副本数及资源限制。
• 首次部署后需通过控制台或 API 导入漏洞库（CVE 数据），确保漏洞扫描功能正常。
• 升级前请参考官方文档，确认 Operator 与 NeuVector 平台版本兼容性。