trendmicrocloudone/admission-controller

Trend Micro Cloud One准入控制器

概述

Trend Micro Cloud One准入控制器是趋势科技提供的容器安全组件，专门与Cloud One容器安全服务集成。该控制器在Kubernetes集群中作为准入Webhook运行，能够在Pod创建阶段拦截请求并强制执行预设的安全策略，有效阻止不符合安全要求的容器部署，从而提升集群整体安全性。

核心功能与特性

• 准入控制拦截：通过Kubernetes准入Webhook机制，在Pod创建前拦截API Server请求，执行安全策略检查。
• Cloud One服务集成：与Cloud One容器安全服务深度联动，实时获取最新安全策略、威胁情报和镜像扫描结果。
• 多维度策略执行：支持基于镜像漏洞、***、配置合规性（如非root用户、资源限制）等多维度的安全策略执行。
• 灵活策略配置：允许通过Cloud One控制台自定义安全策略，满足不同业务场景的安全需求。
• 审计与日志：详细记录策略检查结果、拦截事件及相关上下文信息，支持与外部日志系统集成（如ELK Stack、Splunk）。

使用场景与适用范围

• Kubernetes集群安全加固：为自建或托管Kubernetes集群（如EKS、AKS、GKE）提供深度安全防护。
• 容器镜像安全准入：阻止包含高危漏洞、***或不合规配置的镜像部署到生产环境。
• 合规性管理：满足***、***等行业合规要求（如PCI DSS、HIPAA），确保容器部署符合内部安全规范。
• DevSecOps集成：在CI/CD流水线末端（部署阶段）实施安全检查，将安全融入DevOps流程。

使用方法与配置说明

前置条件

• 已部署Kubernetes集群（版本1.19+），支持准入Webhook配置。
• 已订阅Cloud One容器安全服务，并获取有效的API密钥。
• 集群网络可访问Cloud One服务端点（需确保出站连接到https://container.cloudone.trendmicro.com）。

部署步骤

方法1：通过Helm Chart部署（推荐）

1. 添加Trend Micro Helm仓库：

   bash
   helm repo add trendmicro https://trendmicro.github.io/cloudone-container-security-helm-charts
   helm repo update
   

2. 安装准入控制器（替换<CLOUD_ONE_API_KEY>为实际密钥）：

   bash
   helm install cloudone-admission-controller trendmicro/cloudone-admission-controller \
     --namespace cloudone-security --create-namespace \
     --set cloudOne.apiKey=<CLOUD_ONE_API_KEY> \
     --set policyServer.url=https://container.cloudone.trendmicro.com
   

方法2：通过kubectl部署

1. 下载部署YAML文件：

   bash
   curl -O https://raw.githubusercontent.com/trendmicro/cloudone-container-security/main/admission-controller/deploy.yaml
   

2. 替换文件中的环境变量占位符（如CLOUD_ONE_API_KEY），然后应用：

   bash
   kubectl apply -f deploy.yaml -n cloudone-security
   

配置参数

环境变量配置

自定义策略配置

通过Cloud One控制台（[***]

• 镜像漏洞阈值（如阻止CVSS评分≥7.0的漏洞镜像）
• ***扫描开关
• 容器运行时配置检查（如禁止特权容器、主机网络共享）
• 镜像仓库白名单

部署验证

1. 检查控制器Pod运行状态：

   bash
   kubectl get pods -n cloudone-security
   

2. 测试策略执行（部署一个包含高危漏洞的测试镜像，验证是否被拦截）：

   bash
   kubectl run test-vulnerable --image=trendmicro/test-vulnerable-image:latest
   

   若策略生效，将返回类似“admission webhook denied the request”的错误信息。

注意事项

• 确保Kubernetes集群版本≥1.19，支持准入Webhook v1版本。
• 网络环境需允许控制器Pod访问Cloud One服务端点（443端口）。
• 定期更新控制器版本以获取最新安全特性和漏洞修复。