### ① 组件是什么 镜像仓库存容器镜像，节点按声明从仓库拉取运行。仓库是镜像进入集群的分发关口，信任链从这里开始。 ### ② 语言与 C 库 仓库服务多为 Go/Registry（Go），goroutine。拉取经 HTTPS `socket`/TLS，镜像层经 `open`/`read`/`write` 落盘，不 fork。 ### ③ 运行机制 节点 kubelet 按镜像地址向仓库拉取清单与层，校验后交给运行时解压运行。私有仓库需凭证。 ### ④ 常见配置缺陷 - 仓库匿名可写或拉取无认证，可推送/拉取未审计镜像。 - 允许从任意公共仓库拉取，无来源白名单。 - 仓库凭证过宽、泄露（占位，不提供具体值）。 - 镜像层未校验完整性，篡改后照常运行。 ### ⑤ 对应攻击链路 未受限的仓库与公共源是供应链投毒入口：恶意或被篡改镜像被拉取运行，在 Pod 内埋下持久化点，再接第五部分 SA 权限横向。 ### ⑥ 对应 C 库 HTTPS socket/TLS。层文件 `open`/`read`/`write`。 ### ⑦ 对应工具 仓库认证与写权限