docker镜像本身不支持原生文件级加密，需在构建、存储、传输、运行四阶段分层设防：构建时用多阶段构建与动态解密避免敏感数据入镜像；存储时对registry后端blob加密（如luks或云sse）；传输时强制https/mtls；运行时通过secret挂载和内存加密防止落地泄露。
Docker 镜像本身不提供原生的“文件级加密”能力，敏感内容不能靠镜像格式自带功能加密。真正有效的做法是在构建、存储、传输、运行各环节分层设防，让敏感数据在落盘或网络中始终以密文存在，且密钥与数据分离。
构建阶段：避免敏感信息进入镜像层
镜像一旦构建完成，所有层都不可变。若把密码、密钥、配置文件直接 COPY 进去，就等于永久明文暴露。
- 使用多阶段构建，只把解密后必需的运行时文件复制到最终镜像，敏感源文件保留在构建阶段并丢弃
- 用
--build-arg传参 + 构建时动态解密（例如openssl enc -d -aes-256-cbc -in secrets.enc -out /app/config.json -k "$SECRET_KEY"），确保密文不进镜像，密钥也不硬编码 - 更安全的做法是完全不把敏感数据打包进镜像：改用挂载方式（如
docker run -v /host/secrets:/run/secrets:ro）或通过 secret 管理服务（Docker Swarm secret、HashiCorp Vault 注入）
存储阶段：让镜像 blob 在磁盘上就是密文
Registry 的存储后端才是加密主战场——镜像的 layers、configs、manifests 实际以 blob 形式存于后端，必须在此层加密。
-
云存储（S3/GCS）：启用服务端加密（SSE），如 AWS S3 设置
encrypt: true+ 指定 KMS 密钥；GCS 默认 AES-256 加密，无需额外配置但需确保 registry 使用 GCS driver -
本地文件系统：禁用裸 filesystem driver。改用 LUKS 加密卷挂载为 registry 存储路径（如
/var/lib/registry指向/dev/mapper/registry-encrypted） - Ceph/RBD 等：配合 RBD encryption 参数 + LUKS 封装，避免密钥写死在 registry 配置里
传输阶段：强制 HTTPS + 可选双向 TLS
防止镜像在 push/pull 途中被截获或篡改。
- 私有 registry 必须配置有效 TLS 证书（自签名也可，但客户端需信任 CA）
- Nginx 或 registry 自带 TLS 都可，关键要禁用 HTTP 回退，并在 Docker daemon 配置中移除
--insecure-registry - 高敏场景启用 mTLS：客户端和服务端均需证书，registry 启动加
--tlsverify，Docker 客户端配--tlscacert、--tlscert、--tlskey
运行阶段：不让敏感数据落地容器文件系统
即使镜像干净，运行时也可能因日志、临时文件、内存 dump 泄露。
- 敏感配置通过
--secret（Swarm）或--mount type=secret（standalone）注入，只在内存中可见，不写磁盘 - 容器内禁用交互式 shell（如删掉
/bin/sh）、限制procfs访问、启用noexec挂载选项 - 关键服务启用内存加密（如 Intel TDX/AMD SEV），但需宿主机硬件支持
验证是否真起作用？登录到 registry 存储节点，检查 blob 文件：
-
file /var/lib/registry/docker/registry/v2/blobs/...应显示data而非gzip compressed data或JSON data - 直接
cat或strings应看不到明文配置、密钥、路径等敏感字符串
不复杂但容易忽略
