随着企业 IT 数字化转型演变过程，越来越多的企业采纳云原生化架构降级的形式，改善利用开发运维迭代的效率，减速企业业务翻新迭代，改良资源弹性治理和迁徙的效率，帮忙企业降本增效。然而因为云原生弹性、麻利和动静可扩大等个性，也为云原生软件供应链平安引入了新的挑战。
Salesforce 是创立于 1999 年 3 月的一家客户关系治理 (CRM) 软件服务提供商，可提供随需利用的客户关系治理平台。Salesforce 容许客户与独立软件供应商定制并整合其产品，同时建设他们各自所需的应用软件。在社交电商潮流席卷寰球的态势下，2022 年 1 月，Salesforcs 与阿里云联结公布了针对中国市场的软件“Salesforce 社交电商”，这是 Salesforce 与阿里云达成策略单干后在中国市场首发新品。该软件由阿里云托管的 Headless 电商中台产品，能治理和对立企业在 Web 网站、挪动 App 及小程序等多种渠道的电商利用，以取得客户的 360 度视图，从而进步客户体验和促成业务增长。
容器化 ISV 交付的平安挑战
在进行容器化交付革新的过程中，以 Salesforce 为例的容器软件 ISV，须要解决云原生场景下环境复杂化、多样化等来的软件供应链危险挑战。为了保障软件从开发、交付到运行的顺利进行，整个软件供应链生存周期应在保障软件可用性、完整性、保密性根底上，升高软件供应链的平安危险，实现全链路可审计，可追溯，可自动化平安经营。为了实现这样的要求，在容器化交付革新过程中次要面临以下挑战：
- 三方及开源组件带来安全隐患：企业软件我的项目越来越趋于依附来自供应商三方或开源社区组件，该些组件常以根底镜像的形式在软件供应链里传递。攻击者可能利用组件中存在的破绽，注入恶意代码或管制第三方机器环境，执行从加密货币挖矿、发送垃圾邮件、到通过大型僵尸网络发动 DDoS 攻打。
- 软件交付长链路埋下更多危险：从软件开发阶段的需要剖析、代码开发、集成、测试，到 ISV 交付阶段的特定渠道软件交付、终端客户验收，最初运行阶段的终端客户软件运行、经营和保护。整个软件供应链周期链路长，在各个环节中均可能存在平安危险，导致软件破绽、软件后门、歹意篡改、知识产权危险、信息泄露等平安威逼。
- 容器化运行引入更多危险攻击面：容器利用部署依赖 Linux 内核个性，很多黑客攻击者利用内核系统漏洞，从容器运行时组件和容器利用部署配置等多个维度发动针对性的逃逸或者入侵攻打。最近几年 K8s、Docker、Istio 等开源社区都爆出了不少的高危破绽，这都给攻击者提供了可乘之机。
整个软件供应链生存周期应在保障软件可用性、完整性、保密性根底上，升高软件供应链的平安危险，实现全链路可审计，可追溯，可自动化平安经营。保障从软件开发、交付到运行，整个软件供应链有纵深进攻的平安能力，一旦任何环节呈现问题，可能及时精确实现问题定位和追溯，辨认相干方危险并及时平安加固。
阿里云云原生软件供应链解决方案
为了帮忙客户更便捷实际软件供应链平安，阿里云容器服务团队提供了端到端的解决方案。企业客户能够在跨企业交付或者企业内研发迭代场景，晋升平安治理效率及平安加固能力，实现全链路容器利用平安可信交付。
（容器化 ISV 交付场景）
在容器利用交付阶段，容器镜像服务 ACR 企业版提供了云原生利用交付链能力，交融访问控制、镜像构建、内容平安、二进制认证、全球化散发等能力，反对预置危险拦挡策略，实现发现即阻止、安全控制左移。
- 镜像内容平安，ACR 和云平安核心联结提供了增强型容器镜像扫描引擎，笼罩系统漏洞、利用破绽、基线查看及歹意样本等危险类型，具备高识别率、低误报率破绽扫描能力。同时，提供了容器镜像修复能力，反对自动化高效修复危险破绽，实现从发现到修复的平安闭环。
- 镜像跨账号交付，针对企业间 ISV 利用交付场景，ACR 提供了跨账号同步能力保障容器镜像和签名的散发平安。ISV 将镜像及对应的签名信息通过 ACR 跨账号同步能力交付给 ISV 的客户实例下。对应的镜像开启了不可变镜像版本，确保镜像的版本不可笼罩。ISV 的客户在 ACK 上做镜像部署时，会基于 ISV 的公钥验签，确保镜像残缺且来自 ISV。
在容器利用运行阶段，容器服务 ACK 在默认管控组件、零碎组件平安加固之上，提供了部署策略管理、平安巡检，保障容器利用一致性的安全策略。ACK 集成云平安核心提供了容器运行时安全监控和告警能力，笼罩 ATT&CK 杀伤链的 200 余项平安检测模型，晋升整体业务负载运行环境安全性。基于 ISV 利用运行场景，ACK 也提供了平安沙箱容器作为运行时解决方案，确保更好的平安隔离能力和更高的稳定性。
- 部署策略管理：ACK 基于 OPA 策略引擎和丰盛的预置策略模板，无效束缚利用配置平安，反对容器业务 YAML 多维度部署策略管理，防止特权容器、危险镜像部署等危险行为，增强在集群侧容器平安的被动治理能力。
- 平安沙箱容器：终端客户采纳了平安沙箱容器作为运行时，相比与原有的 Docker 运行时，能够让容器利用运行在一个轻量虚拟机沙箱环境中，领有独立的内核，具备更好的平安隔离能力，相比与社区 Kata Container 具备更强的稳定性。
- 容器运行时平安：终端客户应用了云平安核心容器运行时安全监控和告警能力，包含在容器中或在主机层面产生的病毒和恶意程序攻打、容器外部的入侵行为、容器逃逸和高风险操作预警等次要的容器侧攻击行为，帮忙客户及时发现资产中的平安威逼、实时把握资产平安态势。
在平安经营阶段，客户能够通过 ACR 主动同步、主动扫描、主动加签，ACK 主动验签、主动策略施行，以及危险辨认后主动阻断后续流程性能，实现了容器化 DevSecOps 自动化流程。通过订阅 ACR、ACK、云平安核心的危险事件，实现镜像内容、镜像交付、容器部署、容器运行时全流程平安的危险感知，能够更及时高效解决平安危险，实现全局危险感知。
阿里云携 Salesforce 获评信通院软件供应链平安优良案例
2022 年 6 月 17 日，由中国信息通信研究院、中国通信标准化协会主办的 2022 首届 3SCON“软件供应链平安论坛”于线上召开。会上阿里云联结 Salesforce 申报的容器 ISV 软件供应链平安实际案例“阿里云助力 Salesforce 软件供应链平安落地实际”，通过了自主申报、专家评审等环节的层层筛选，最终胜利获评“2022 平安守卫者打算优良案例”。
Salesforce 和阿里云联结公布针对中国市场的软件“Salesforce 社交电商”过程中，通过与阿里云容器团队的严密单干，应答云原生场景软件的复杂化、多样化挑战，较好地落地了全生命周期的软件供应链平安实际，次要体现在以下方面：
晋升全链路安全性
- 平安交付：通过 ACR 跨用户同步链路保障镜像和签名的散发平安。通过 ACR 镜像加签与 ACK 跨账号验签确保镜像的内容可信。并且因为整个交付过程是基于专属同步链路，可确保软件供应链上传递的信息不会被意外泄露。
- 安全策略：开启 ACR 镜像平安扫描策略，确保镜像的内容平安同时阻断危险镜像的交付。施行 ACK OPA 部署策略管理，确保无效束缚容器利用配置平安阻断相似特权容器的运行。
- 平安运行：基于 ACK 平安沙箱容器运行容器，利用运行在一个轻量虚拟机沙箱环境中，领有独立的内核，具备更好的平安隔离能力。基于云平安核心容器运行时安全监控和告警能力，防止容器或主机层面产生歹意攻打，及时预警高风险操作。
晋升平安治理效率
- 高度自动化：通过 ACR 主动同步、主动扫描、主动加签，ACK 主动验签、主动策略施行，以及危险辨认后主动阻断后续流程性能，实现了容器化 DevSecOps 的流程。
阿里云容器服务为企业云原生化架构降级之路保驾护航
与此同时，在 6 月 15 日的 2022 云原生产业大会上，阿里云在信通院“云原生平安成熟度”评估中，也获得国内惟一全域最高等级认证。信通院“云原生平安成熟度”从基础设施平安、云原生基础架构平安、云原生利用平安、云原生研发经营平安和云原生平安 5 个维度，共计 315 个细分项考查企业云原生架构平安程度。阿里云云原生利用平台通过大规模企业客户服务积攒和创新性技术打磨，积淀了全链路的云原生平安解决方案，全方位展示了阿里云云原生产品安全能力的丰盛度和当先性。
从容器镜像服务 ACR、容器服务 ACK 到云平安核心，阿里云丰盛的云原生平安产品家族保障了阿里巴巴本身的大规模云原生化实际，确保利用全生命周期的云原生平安。同时这些云原生平安能力也撑持了云上百万企业，晋升了企业内与企业间软件供应链的全链路平安及平安治理效率。
阿里云将继续在云原生平安畛域翻新，通过产品、技术、平安经营的深度交融，提供在云边端多部署场景，微服务、无服务多业务状态下，更深度、更智能自治的软件供应链平安，保障企业客户的云原生化架构降级之路。
2022 年 6 月 23 日 -7 月 23 日，点击浏览原文填写问卷，首次购买阿里云容器镜像服务企业版 ACR EE、容器服务专业版 ACK Pro 的客户可享受 7 折优惠，详情点击此处理解。