企业基础镜像管理需建规则、跑流程、养习惯，明确准入标准（来源限定、版本约束、安全基线），固化CI构建发布流程，实施分级RBAC授权与不可变标签治理，并通过本地检查、CI阻断和健康简报形成持续验证闭环。
镜像管理要为企业内部统一维护基础镜像规范，关键不是堆工具，而是建规则、跑流程、养习惯——把基础镜像从“谁都能改、改完不登记”的散装状态，变成“谁建、谁审、谁用、谁追溯”闭环可控的生产资料。
明确基础镜像准入标准
基础镜像不是越小越好，也不是越新越安全，而是要满足企业实际运行与合规要求。建议每类基础镜像（如 Java、Python、Node.js 运行时）都制定一份《基础镜像白名单规范》，包含：
- 来源限定：仅允许来自官方仓库（如 openjdk、python、node 官方镜像）或经企业签名认证的私有镜像
- 版本约束：禁用 latest 标签；Java 镜像只允许 v17、v21 LTS 版本；Python 限定 3.9、3.11、3.12；所有镜像需带语义化标签（如 openjdk:17-jre-slim-buster-202608）
- 安全基线：必须通过 Harbor 漏洞扫描（CVSS ≥ 7.0 的高危漏洞自动拦截）、启用镜像签名（Notary 或 Cosign）、禁止 root 用户默认启动
固化构建与发布流程
人工 build & push 是规范落地的最大断点。应将镜像构建纳入 CI 流水线强制管控：
- 所有基础镜像构建必须通过统一 Jenkins/GitLab CI Job 触发，脚本中嵌入校验逻辑（如检查 FROM 行是否在白名单、是否含非法 apt/yum install）
- 构建成功后，CI 自动调用 Harbor API 打标：env=base、maintainer=infra-team、os=debian12 等元数据，便于后续策略识别
- 镜像推送前强制执行 tag 校验：正则匹配
^v\d+\.\d+\.\d+-[a-z]+-\d{8}$（如 v17.0.2-jre-slim-20260812），不合规直接失败
分级授权与不可变治理
基础镜像是“公共资源”，但不是“开放资源”。Harbor 项目级 RBAC 必须精细到操作粒度：
- infra-admin：可创建/删除项目、配置扫描策略、管理签名密钥
- base-maintainer：仅能向 base-project 推送/删除镜像、触发扫描、打标，无权修改权限设置
- developer：仅允许拉取，且只能拉取带 approved=true 标签的基础镜像（由扫描+人工复核后自动添加）
- 所有基础镜像启用 不可变标签（Immutable Tag），避免同 tag 被覆盖导致环境不一致
持续验证与反馈闭环
规范不能只写在文档里。要让开发者感知到“用错镜像会立刻被拦住”，才能形成肌肉记忆：
- 在 Maven/Gradle 插件或 Dockerfile Linter 中集成基础镜像检查，本地构建即告警
- CI 构建阶段自动比对所用基础镜像 digest 与企业镜像仓库中最新 approved 版本，不一致则阻断并提示升级路径
- 每月生成《基础镜像健康简报》：统计各团队使用非白名单镜像次数、高危漏洞镜像分布、过期未更新镜像TOP5，同步至部门负责人
