云原生软件供应链安全演进

1、云原生软件供应链安全演进技术创新，变革未来云原生软件供应链社区发展厂商实践阿里云演进软件供应链软件 开发编译测试分发部署驱动流水线将编写的代码最终发布到生产环境，为终端用户提供服务软件供应链安全软件 开发编译测试分发部署库依赖软件上游仓库安全也是软件供应链中非常重要的组成，不光体现在对软件本身的安全增强，也体现在对供应链本身的安全增强云原生时代的软件供应链新制品云原生应用制品新环境All in One、易调整新发布迭代简单、频率更快新体系云原生、立体化Cloud Native LandscapeSecurity&Compliance供应链角色分工更新安全元数据管理镜像安全部署安全策略管控环境安

2、全厂商实践（Shopify-SecuringtheDeployPipeline分享）123厂商实践Voucher：按照指定验证条目对容器镜像进行验证并生成对应元数据信息 /Shopify/voucherGrafeas：存放容器镜像元数据，包含镜像的签名信息、漏洞信息及其他信息 /grafeas/grafeasKritis：根据用户定制的部署安全管控策略、镜像的元数据控制集群是否能够部署具体应用（容器镜像），作为 保险措施，Kritis 支持紧急情况下 Break Glass，可在事后通过审计来确认操作是否符合安全策略 /grafeas/kritis厂商实践12厂商实践Container Ana

3、lysis：对标 Grafeas + Voucher，生产并存放了容器镜像漏洞、签名等元数据信息，Container Analysis API 和 Grafeas API 基本一致Binary Authorization：管理 K8s 集群部署安全管控策略，如禁止未加签镜像部署至集群，集群中则支持用户 使用 Kritis 来执行安全管控策略阿里云演进源链物管理和分发安全交付安全使用安全（2018）（2019）（2020）管理和分发安全（2018）标准化管理及分发标准化统一管理、分发不同类型的云原生制品制品管理安全加固制品存储隔离BYOK 存储加密等加固手段制品分发安全加固物理网络访问控制细粒度

4、业务权限控制临时 Token 机制阿里云容器镜像服务（ACR） 企业版管理和分发安全（2018）首先保障软件制品的管理和分发安全，从源头减少制品被污染和被安全攻击阿里云演进源链物管理和分发安全交付安全使用安全（2018）（2019）（2020）云原生应用交付链（2019）原生安全链路执行可追踪、可观测前置安全管控策略立体式全球化协同交付可定制交付环节支持自定义规划兼容社区流程定义语义云原生应用交付链（2019）云原生应用交付流程的安全加固阿里云演进源链物管理和分发安全交付安全使用安全（2018）（2019）（2020）元数据和二进制授权（2020）元数据服务提供制品的多类型元数据信息二进制授权指定制品使用策略典型场景用户定义未经加签的镜像禁止部署在 K8s 集群中用户为镜像加签生成了签名元数据二进制鉴权K8s 集群收到了部署镜像的请求，通过元数据服务获取签名信息进行验证K8s 集群根据验证结果决定是否要继续部署镜像Grafeas 解析Grafeas定义了一组制品元数据 APIAPI 用来管理软件资源的元数据元数据关于软件资源的全类型信息 构建、漏洞、签名、交付等元数据可以用于审计软件供应链软件资源云原生制品：容器镜像、Chart 等 传统制品：VM 镜像、JAR 包等Grafeas 模型Grafeas 设计/grafeas/graf