KubeCon + CloudNativeCon 2018 中国论坛

设想采用任意代码，将其部署到生产，并希望一切都是安全的。当我们不锁定部署管道并部署任意容器时，我们就会这样做。加入我们，来探索 Shopify 的解决方案。

生成容器后，我们运行检查以确定其状态：它是不易受到攻击且不会过时的软件吗？它是否源自正确的部署管道？

对于每个成功的测试，都会对容器进行签名，并且将签名存储在 Grafeas 中。
在部署期间， Kritis 允入控制元件强制执行签名。

因为容器的安全状态可以改变，所以我们记录在容器生命周期中创建的元数据。如果它变得易受攻击，就会被撤回、修复和重新部署。

凭借 Grafeas 和 Kritis 这两个新工具装入 Kubernetes 允许每个人通过代码部署来防止特权增加。