最小权限原则制作分发linux镜像的核心是默认不装、按需启用：构建阶段用轻量基础镜像、多阶段构建、非root用户、禁用默认服务并清理冗余；权限控制限制文件权限、capabilities和挂载选项；镜像签名验证来源与完整性，禁用latest标签并附sbom；运行时通过k8s securitycontext、ebpf监控及定期更新加固。

按最小权限原则制作和分发Linux镜像，核心是：只保留运行必需的软件、用户、权限和网络能力，从构建源头就削减攻击面。不是“装完再删”，而是“默认不装，按需启用”。

一、构建阶段：精简基础系统

选用轻量发行版（如Alpine Linux或Debian slim）作为基础镜像，避免CentOS/RHEL等预装大量服务的镜像。使用多阶段构建分离编译环境与运行环境。

• 在Dockerfile中显式声明USER非root用户（如useradd -r -u 1001 appuser），并在最后用USER appuser切换，禁止以root运行应用进程
• 禁用所有默认开启的系统服务（systemd、sshd、crond等），除非业务明确需要——多数容器场景根本不需要init系统
• 用apk del（Alpine）或apt-get purge --auto-remove（Debian）清理构建依赖和文档、man页、locale冗余包

二、权限控制：限制文件与能力边界

最小权限不仅指用户身份，还包括文件访问权限、Linux capabilities和挂载选项。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 对应用目录设为chown -R appuser:appuser /app，并用chmod 750 /app限制组外不可读；敏感配置文件（如密钥）设为600且仅属主可读
• 运行容器时通过--cap-drop=ALL移除全部capabilities，再按需添加（如--cap-add=NET_BIND_SERVICE仅当需绑定80端口）
• 挂载卷使用ro（只读）或noexec,nosuid,nodev选项，例如-v /host/config:/app/config:ro

三、镜像签名与可信分发

安全镜像必须可验证来源与完整性，防止中间篡改或误拉取恶意镜像。

• 使用cosign sign对镜像打签名，并将公钥纳入CI/CD流水线或K8s准入控制器（如kyverno或opa-gatekeeper）强制校验
• 私有镜像仓库（如Harbor）启用内容信任（Notary v2）和漏洞扫描，自动阻断含CVSS≥7.0漏洞的镜像推送
• 禁止使用latest标签；所有生产镜像必须带语义化版本（如v1.2.3-sec1）并附SBOM（软件物料清单）文件（Syft+SPDX格式）

四、运行时加固与持续监控

镜像分发后，运行环境仍需配合策略落地最小权限原则。

• Kubernetes中为Pod设置securityContext：禁用特权模式（privileged: false）、启用readOnlyRootFilesystem: true、指定runAsNonRoot: true及固定runAsUser
• 用eBPF工具（如Tracee）监控异常行为：非预期的execve调用、写入/tmp以外临时目录、DNS请求非白名单域名
• 定期重新构建镜像（如每月），同步基础镜像安全更新，并用trivy image --ignore-unfixed检查是否仍有未修复高危漏洞