Kubescape（1.2万星）K8s安全2026：在IDE里扫描集群、镜像和YAML

Kubescape（11,568星）是开源Kubernetes安全平台，从IDE或CI/CD就能扫描集群、镜像和清单文件。本文教你今天就开始加固集群。

💡 你将学到

Kubescape（11,568星）是开源Kubernetes安全平台，从IDE或CI/CD就能扫描集群、镜像和清单文件。本文教你今天就开始加固集群。

📜 目录

• 直接给结论
• 扫描什么
• 快速开始
• 加固流程
• FAQ
• 相关文章

直接给结论

kubescape/kubescape（11,568星，Go）是一个开源Kubernetes安全平台，适用于IDE、CI/CD流水线和集群。它对照多个框架（NSA/CISA加固指南、MITRE ATT&CK）检查，报告配置错误、漏洞和合规问题，并给出清晰的修复步骤。

扫描什么

• 集群态势：RBAC风险、暴露的Dashboard、网络策略缺口
• 工作负载：特权容器、hostPath挂载、缺少资源限制
• 镜像：容器镜像中的CVE（集成镜像扫描器）
• 清单：YAML文件在进入集群前先检查

快速开始

# 扫描当前集群
curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
kubescape scan cluster

# 部署前扫描清单文件
kubescape scan deployment.yaml

# 扫描镜像
kubescape scan image nginx:1.27

默认输出人类可读，每个控制项有评分和修复建议；--format json 可输出机器可读结果给CI。

加固流程

1. 运行 kubescape scan framework nsa 查看你的NSA/CISA合规评分。
2. 优先修复高危项：特权容器、默认命名空间、公开RBAC。
3. 把 kubescape scan 加进CI，新清单若出现回退就让流水线失败。
4. 用VS Code插件在写YAML时实时发现问题。

FAQ

免费吗？ CLI和核心扫描器开源（Apache-2.0）。

能替代商业扫描器吗？ 很多团队用它覆盖核心需求；商业产品额外提供合规报告和高级镜像扫描。

能离线运行吗？ 能——直接扫描你的集群，控制项也可以本地缓存。

相关文章

• 2026年AI会议排期助手：Cal.com（4.7万星）自托管+大模型，终结邮件来回复
• 2026年AI YouTube自动化：yt-dlp（18.2万星）+ Whisper，搭一条免费内容流水线
• 2026年AI目标检测：YOLO（6万星）——数车、找缺陷、追踪万物，免费

❓ 常见问题

Is it free?

The CLI and core scanner are open source (Apache-2.0).

Does it replace commercial scanners?

For many teams it covers the essentials; commercial products add compliance reporting and advanced image scanning.

Can it run offline?

Yes - it works against your cluster directly and can use locally cached controls.