应用级加密是容器集群数据安全的关键防线，需在应用代码中对静态数据字段或文件加密，并通过KMS动态注入密钥；通信层强制TLS/mTLS，密钥生命周期由专业KMS托管，与平台加密分层互补。
容器集群的数据安全不能只靠平台默认配置，应用级加密是真正把住数据出口和入口的关键。它不是替代底层加密，而是叠加一层由应用主动控制的保护机制，确保即使基础设施被突破，敏感数据仍保持不可读。
应用层静态数据加密
在应用代码中对写入存储的数据进行加密，是最直接的可控手段。比如数据库字段级加密、文件内容加密后再存入卷，或使用应用自带的加密SDK（如Go的crypto/aes、Java的JCE）处理敏感字段。关键点在于密钥不随镜像打包，而是通过Kubernetes Secret或外部KMS动态注入，并在运行时解密。
- 避免硬编码密钥，所有密钥通过环境变量或挂载Secret方式传入
- 加密粒度建议到字段或文件级别，而非整卷——既提升安全性，也便于审计与合规
- 启用加密日志脱敏，防止调试信息意外泄露明文凭证或PII数据
应用通信传输加密
容器内应用对外发起的HTTP/gRPC/DB连接，必须强制启用TLS，且验证服务端证书。不要依赖“内部网络可信”假设——东西向流量同样需加密。微服务间调用推荐mTLS双向认证，由服务网格（如Istio）或应用自身实现证书校验逻辑。
- 数据库连接字符串中明确指定sslmode=require（PostgreSQL）或useSSL=true（MySQL）
- API客户端默认启用证书固定（Certificate Pinning），防止中间人伪造
- 禁用HTTP明文重定向，所有内部接口统一走HTTPS或受信通道（如gRPC over TLS）
加密密钥的生命周期管理
应用级加密效果取决于密钥是否真正可控。密钥生成、分发、轮换、销毁应脱离应用代码，交由专业KMS（如HashiCorp Vault、AWS KMS、阿里云KMS）托管。应用仅通过短期令牌获取加密/解密能力，不接触原始密钥材料。
- 每次启动时动态获取密钥句柄，不缓存长期密钥到内存或磁盘
- 设置密钥自动轮换策略（如90天），旧密钥保留用于历史数据解密，新数据强制使用新密钥
- 密钥访问权限按最小原则绑定ServiceAccount，禁止跨命名空间共享
与平台加密协同不冲突
应用级加密和Kubernetes Volume加密、etcd TLS、节点磁盘LUKS等并不重复，而是分层互补：平台层防物理窃取与横向渗透，应用层防逻辑越权与代码漏洞导致的数据暴露。例如，即使攻击者逃逸到宿主机并读取PV文件，若应用已对字段加密，数据依然无效；反之，若应用未加密但PV加密失效，平台层也无法挽救。
- 在Kubernetes中同时启用EncryptionConfiguration（etcd静态加密）+ Pod SecurityContext（非root、只读根文件系统）+ 应用层字段加密
- 用准入控制器（如OPA/Gatekeeper）校验Pod是否声明了必需的加密环境变量或Secret挂载
- CI/CD流水线中加入加密配置检查项，如扫描Dockerfile是否含ENV KEY=xxx、是否缺失TLS配置片段
