文档中心

容器服务

请输入

安全合规

VCI 安全责任共担

本文介绍弹性容器实例（VCI）的安全责任共担模型。

与传统的本地数据中心相比，云计算的运营方和使用方分离，具有更好的灵活性和控制力，有效降低了客户的运营负担。正因如此，云计算业务的安全性无法由单一方完全承担，云安全工作需要火山引擎与您共同努力。

安全责任划分原则

火山引擎的安全责任

火山引擎 VCI 产品负责维护 Serverless 平台的安全性和可靠性，包括确保平台的基础设施安全、提供安全的数据存储和处理服务以及保护客户数据的机密性等。火山引擎会确保其基础架构、管理、安全实践的合规性，以保护客户的应用程序不受攻击，同时保护客户数据的隐私性和完整性。

客户的安全责任

客户负责保障其 Serverless 应用全生命周期安全，涵盖应用与数据安全、访问控制、代码开发审计、认证授权规则配置等工作，并仅向被授权个人或团队开放访问权限，核心责任如下：

主动申请容器特权的风险责任：火山引擎默认禁用 Capabilities 等可能影响容器稳定性与安全性的特权特性；若客户通过主动申请流程开放上述特权，因特权配置不当引发的稳定性问题和容器安全风险（如集群内横向攻击其他 Pod 等），由客户自行承担责任。

共管资源的安全责任

火山引擎部分资源（如客户 Pod 安全组），由于客户自主管理、精细化控制等需求，无法采用全托管等单方管理模式，因此需要明确双方安全责任原则：

引入风险方承担责任：客户因创建存在安全隐患的 Pod 或使用恶意镜像等自主操作引发的故障与损失，由客户自行承担相应责任；火山引擎保证 VCI 管控范围内的 Pod 无安全隐患，不影响客户业务正常运行。

各方遵循权限最小化原则：客户因例如公网访问范围开放过大等情况引发的安全攻击及后果，由客户自行承担；火山引擎保证 VCI 范围内 Pod 安全组遵循最小权限配置，不越权扩大访问范围，杜绝容器逃逸。

云安全需要火山引擎与客户之间有清晰的责任边界，同时也需要双方密切合作：火山引擎负责云基础设施安全与合规保障，客户负责自身应用与数据安全。针对责任交叉区域，火山引擎将主动防控、消除风险盲区，为客户提供更安全的 Serverless 服务。

理解责任共担模型

在设计和部署企业应用系统前，请充分理解企业自身和火山引擎的安全责任边界。选择火山引擎 VCI 产品，除了管理基础设施，火山引擎还会确保 Pod 的运行环境及相关运行时组件的安全。下图展示了在 Serverless 架构中使用 VCI 时，火山引擎和客户之间安全责任的具体划分。

火山引擎负责

在控制面，火山引擎基于 Kubernetes 安全基线等业界通用安全标准，对 VCI 控制面组件实施安全加固；围绕企业云原生应用全生命周期安全防护的典型场景，构建并提供标准化安全体系支撑。具体责任如下：

安全类型	详细内容
基础设施安全性	保障 Kubernetes 引擎版本的持续升级和 CVE 漏洞的及时修复。确保 Kubernetes 管控链路隔离、网络隔离（例如 VPC 配置、VPC 间隧道等）、存储隔离等基础安全能力稳定运行。
弹性计算资源池安全性	针对容器操作系统，采用轻量级虚拟机隔离技术，为底层资源构建安全隔离屏障。
集群管控及托管组件安全性	负责集群鉴权与证书管理，集群内 Secret 管理，对外暴露端口合规性管控，VPC 隔离及安全组配置合理性校验等核心管控能力的安全保障。
非托管组件和应用市场 Chart 安全性	提供标准化核心配置，从基础配置层面规避基本安全问题，保障非托管组件与市场 Chart 的初始安全基线。

客户负责

在数据面，客户安全运维人员需要负责部署在云上的业务应用安全防护，以及云资源的安全配置与动态更新，履行数据面流程安全责任。具体责任如下：

安全类型	详细内容
应用安全性	保障应用制品供应链、应用运行时的安全性。遵循最小权限原则配置账号与角色授权。通过云安全中心应用级防控手段及时发现并处置潜在安全隐患。严格限制容器特权配置，非必要不主动申请开放特权特性。
运维安全性	负责业务云网络配置、业务云存储配置、业务可观测性配置的安全合规性，确保运维操作全流程无安全漏洞。
业务组件安全性	对 Operator、Webhook 等业务组件的运行逻辑实施严格限制，防范组件异常行为影响其他业务的安全运行。
非托管组件和应用市场 Chart 安全性	及时更新火山引擎公告推荐的安全补丁或版本。严格遵循安全原则配置参数和权限，避免因配置不当、权限过度分配留下安全隐患。