proto.lib

Quét lỗ hổng image tại admission gate

Trước khi pod được admit vào cluster, admission controller gọi scanner kiểm tra CVE của image theo digest; kết quả được cache theo digest để không quét lại, image có lỗ hổng nghiêm trọng bị chặn trừ khi nằm trong allowlist có thời hạn.

Data CenterTrung bình2026-08-28
Quét lỗ hổng image tại admission gate

Tags

#image-scanning#cve#admission-controller#supply-chain#vulnerability#digest-cache

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Data CenterCơ bản

Ghim image theo digest thay vì tag di động

Tag như latest hay v1 có thể bị đẩy lại để trỏ tới nội dung khác, khiến cùng một manifest chạy ra image khác nhau ở các node hoặc các lần rollout; ghim theo digest (sha256 bất biến) đảm bảo mọi nơi chạy đúng một nội dung, còn tag chỉ dùng làm nhãn con người đọc.

#image-digest#immutable-tag#ci-cd#rollback
Data CenterTrung bình

OCI Artifact: đóng gói Helm chart / model weight vào chung registry

Registry ảnh container (OCI) không chỉ chứa image mà còn chứa artifact bất kỳ (Helm chart, config, model weight) nhờ manifest + layer với mediaType tuỳ biến; nhờ vậy artifact dùng chung cơ chế auth, replication và retention với image thay vì cần kho lưu trữ riêng.

#oci-artifact#helm#container-registry#oras
Data CenterTrung bình

Promotion Artifact giữa các Registry (dev → staging → prod)

Image được build một lần và được PROMOTE bằng digest giữa các registry (dev → staging → prod) sau khi qua gate, không bao giờ rebuild riêng cho mỗi môi trường — nên thứ đã test chính là thứ chạy thật, và production registry chỉ chứa artifact đã qua toàn bộ gate.

#artifact-promotion#container-registry#digest-pinning#supply-chain