Karmada 多云多集群容器编排引擎完成安全审计！项目成熟度持续升级
【摘要】 CNCF和OSTIF官方宣布了 Karmada 安全审计结果。本次审计结果标志着 Karmada 社区向 CNCF 下一阶段成熟度又向前迈进了一步，也是 Karmada 社区对于安全性重视和承诺的践行。Karmada 将不断改善升级项目的安全态势，为用户提供更加安全可靠的使用体验。
Karmada[4] 是一个开源 的 Kubernetes 编排系统，用于跨云和集群无缝运行云原生应用程序，为用户提供开放的多云、多集群 Kubernetes 管理。Karmada 社区始终坚持确保社区代码安全、可靠并性能优越。此次安全审计，项目表现出了强大的参与度、活跃的开发状态和对安全的重视，项目的维护人员在整个审查过程中一直积极响应并积极工作。以下是 OSTIF 分享的对 Karmada 的安全审计结果：
审计流程：
Karmada 是 Kubernetes 生态系统的一部分，使用了 Kubernetes 库和实现，除此之外，Karmada 自定义实现及其第三方依赖项的整体安全状况也是本次审计工作的重中之重。Karmada 利用多个组件、CLI 工具和附加组件来扩展标准 Kubernetes 功能，这些功能可以根据部署配置进行定制。因此， Karmada 的攻击场景相对复杂，有必要执行范围威胁建模以评估潜在的攻击面。利用这个定制的威胁模型，结合手动检查、工具分析和动态审查，Shielder[5] 识别了六个对项目安全有影响的问题。
审计结果：
-
6 个发现 - 1 个高风险，1 个中风险，2 个低风险，2 个提示
- 对未来工作的建议
-
整体安全性的长期改善建议
Karmada 项目的安全团队在整个审计过程中一直积极响应并与 Shielder 积极合作，解决修复了报告中列出的问题。他们为项目所做的工作一丝不苟，在问题修复过程中能考虑到对用户以及相关的第三方依赖项和项目的影响。他们发布了必要的安全通告，并告知用户本次审计的影响和提供相应的解决方案。OSTIF 祝他们在 CNCF 毕业之路上一切顺利。
感谢以下个人和团体使这次合作成为可能：
-
Karmada 维护者和社区：特别是 Kevin Wang、Hongcai Ren 和 Zhuang Zhang
-
Shielder: Abdel Adim “Smaury” Oisfi, Pietro Tirenna, Davide Silvetti
-
云原生计算基金会
本次审计结果标志着 Karmada 社区向 CNCF 下一阶段成熟度又向前迈进了一步，也是 Karmada 社区对于安全性重视和承诺的践行。Karmada 将不断改善升级项目的安全态势，为用户提供更加安全可靠的使用体验。
参考资料
[2] OSTIF(Karmada Audit Complete!): https://ostif.org/karmada-audit-complete/
[3] 安全审计报告: https://ostif.org/wp-content/uploads/2025/01/OSTIF-Karmada-Report-PT-v1.1.pdf
[4] Karmada: https://karmada.io/
[5] Shielder: https://www.shielder.com/blog/2025/01/karmada-security-audit/
【更多华为云云原生干货推荐】华为云云原生王者之路集训营
华为云云原生王者之路集训营
为帮助广大技术爱好者快速掌握云原生相关技能，华为云云原生团队与华为云学院联合CNCF开源软件大学启动人才培养计划，推出《华为云云原生王者之路集训营》，从云原生基础知识介绍到最佳实践讲解、底层原理和方案架构深度剖析，层层深入，满足不同云原生技术基础和学习目标人群的需求。本课程还精选数十个企业典型应用场景，作为学员上机实践案例，帮助学员将所学技术快速与企业业务相结合，服务于企业生产。
点击免费参加华为云云原生王者之路集训营：https://edu.huaweicloud.com/roadmap/cloudnative1.html 学习后记得小试牛刀，看看测评效果~ 华为云云原生王者之路-黄金课程测评 华为云云原生王者之路-钻石课程测评 华为云云原生王者之路-王者课程测评
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
作者其他文章
评论（0）