分类：云原生安全

OPA Gatekeeper 通过 Validating Webhook 将 Rego 策略注入 K8s 准入链路，强制禁止 latest 镜像标签、缺失 resource limits 或 hostPath 挂载等高风险配置。 !Kubernetes 架构 一、禁止 latest 标签的 ConstraintTemp

当容器以 privileged 或挂载了 /var/run/docker.sock 时，攻击者可从容器内部直接操控宿主机运行时，实现完整的逃逸链路。 !容器逃逸路径 一、检测危险 Capabilities 配置