在云容器引擎 CCE 中，安全合規遵循責任共擔原則。具體而言，云容器引擎 CCE 承擔著集群控制面組件（涵蓋 Kubernetes 控制平面組件與 etcd）及集群服務相關天翼云基礎設施的默認安全保障責任。本文將詳細闡述天翼云云容器引擎 CCE 的安全責任共擔模型。

天翼云負責

在管控面側，天翼云憑借完善的平臺安全能力，負責保障管控面側基礎設施（涵蓋計算、存儲、網絡等各類云服務資源）的安全。針對集群節點操作系統或 K8s 組件層面出現的安全漏洞，天翼云會及時發布相關公告，并提供對應的漏洞補丁或版本更新支持。天翼云還會圍繞企業云原生應用生命周期中安全防護的典型場景，提供必要的安全防護功能及最佳實踐指導。

客戶負責

客戶方安全管理與運維人員需承擔部署于云上的業務應用安全防護責任，以及云上資源的安全配置與更新工作，具體包括以下內容：

• 依據天翼云發布的公告，采用其提供的補丁或版本升級方式，及時對操作系統、集群側系統組件、運行時等存在的漏洞進行修復和版本更新

• 遵循安全原則對 CCE 集群、節點池及網絡等進行參數配置，防止因參數或權限設置不當而給攻擊者留下可乘之機

• 根據實際使用需求，按照權限最小化原則，完成賬號、角色的授權，做好憑據管理，部署實施相關安全策略，并保障應用自身參數配置的安全性

• 負責應用制品的供應鏈安全

• 保障應用敏感數據及應用運行時的安全

• CCE采用雙層的權限體系，即IAM+RBAC。當刪除 IAM 用戶或 IAM 角色時，并不會同步移除該用戶或角色所擁有的集群 KubeConfig 中的 RBAC 權限。因此，在刪除離職員工或非受信人員的 IAM 用戶或 IAM 角色前，需先吊銷其 KubeConfig 權限。

理解責任共擔模型

在您設計和部署企業應用系統之前，請您充分理解企業自身和天翼云的安全責任邊界。

CCE 托管版架構下集群安全的責任共擔模型如下所示。

CCE 專有版架構下集群安全的責任共擔模型如下所示。

當您選擇 CCE 托管集群中部署虛擬節點時，除集群托管面與基礎設施的安全保障外，天翼云還將負責 Pod 底層彈性容器實例（ECI）的運行時安全；而應用 Pod 的重建工作則由客戶負責，以確保修復措施生效。

下圖展示的是 CCE 集群中調度虛擬節點時的安全責任共擔模型。