Kubescape（1.2万星）K8s安全2026：在IDE里扫描集群、镜像和YAML

Kubescape（11,568星）是开源Kubernetes安全平台，从IDE或CI/CD就能扫描集群、镜像和清单文件。本文教你今天就开始加固集群。

💡 你将学到

Kubescape（11,568星）是开源Kubernetes安全平台，从IDE或CI/CD就能扫描集群、镜像和清单文件。本文教你今天就开始加固集群。

直接给结论

kubescape/kubescape（11,568星，Go）是一个开源Kubernetes安全平台，适用于IDE、CI/CD流水线和集群。它对照多个框架（NSA/CISA加固指南、MITRE ATT&CK）检查，报告配置错误、漏洞和合规问题，并给出清晰的修复步骤。

扫描什么

• 集群态势：RBAC风险、暴露的Dashboard、网络策略缺口
• 工作负载：特权容器、hostPath挂载、缺少资源限制
• 镜像：容器镜像中的CVE（集成镜像扫描器）
• 清单：YAML文件在进入集群前先检查

快速开始

# 扫描当前集群
curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
kubescape scan cluster

# 部署前扫描清单文件
kubescape scan deployment.yaml

# 扫描镜像
kubescape scan image nginx:1.27

默认输出人类可读，每个控制项有评分和修复建议；--format json 可输出机器可读结果给CI。

加固流程

1. 运行 kubescape scan framework nsa 查看你的NSA/CISA合规评分。
2. 优先修复高危项：特权容器、默认命名空间、公开RBAC。
3. 把 kubescape scan 加进CI，新清单若出现回退就让流水线失败。
4. 用VS Code插件在写YAML时实时发现问题。

FAQ

免费吗？ CLI和核心扫描器开源（Apache-2.0）。

能替代商业扫描器吗？ 很多团队用它覆盖核心需求；商业产品额外提供合规报告和高级镜像扫描。

能离线运行吗？ 能——直接扫描你的集群，控制项也可以本地缓存。