api-evangelist/kubescape

# Kubescape (kubescape) Kubescape 是一个开源 (Apache 2.0) 的 Kubernetes 安全平台和 CNCF 孵化项目，最初由 ARMO 贡献。它提供风险分析、安全与合规态势扫描（NSA-CISA、MITRE ATT&CK、CIS 等）、配置错误检测、镜像与运行时漏洞扫描（通过 Grype 扫描 CVE），以及基于 eBPF 的运行时威胁检测，覆盖 IDE、CI/CD pipelines 和活动集群。 **访问模型 — 请先阅读此部分。** Kubescape 的核心是一个 **CLI** 和一个集群内的 **Operator**，而不是单一的托管 HTTP API： - **CLI**（`kubescape scan ...`）是一个命令行工具，而不是 HTTP API。 - 集群内的 **Operator** 组件（storage、kubevuln、gateway、operator、node-agent）每个都暴露了一个**包含 OpenAPI/Swagger 文档的 HTTP API，仅可在集群内部访问**，路径为 `/openapi/v2/swaggerui`、`/openapi/v2/rapi` 和 `/openapi/v2/docs`。这些组件没有固定的公开主机，因此在此处是对其进行文档化（建模），而不是通过互联网调用。 - **ARMO Platform** 是建立在 Kubescape 基础上的商业多集群、多云 SaaS，也是**托管的公共 REST API** 所在之处：即位于 `https://api.armosec.io/api/v1` 的 **Customer API**，通过 `X-API-KEY` header 中的 Agent Access Key 进行身份验证。这是本条目中记录的具体、可调用的 HTTP 接口。 **APIs.json:** [https://raw.githubusercontent.com/api-evangelist/kubescape/refs/heads/main/apis.yml](https://raw.githubusercontent.com/api-evangelist/kubescape/refs/heads/main/apis.yml) ## 标签 - Kubernetes Security - Cloud Native Security - Container Security - DevSecOps - Kubernetes - Vulnerability Scanning - Compliance - Runtime Security - CNCF - Open Source ## 时间戳 - **创建：** 2026-07-11 - **修改：** 2026-07-11 ## API 以下逻辑 API 映射了 ARMO Platform Customer API（托管）以及开源的集群内组件 API。Endpoint **paths** 来自公开的 ARMO Customer API 参考；OpenAPI 中的请求/响应 **schemas** 是真实建模的，并非从已发布的机器可读规范中复制。 ### Kubescape 态势与合规 API 检索跨 NSA-CISA、MITRE ATT&CK、CIS 和其他框架的合规态势 —— 框架扫描摘要、各控制项运行结果（200 多个 Kubescape 控制项 C-0001..C-0292）以及受影响的 Kubernetes 资源。 - **Human URL:** [https://hub.armosec.io/reference/customer-api](https://hub.armosec.io/reference/customer-api) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape 漏洞 API 发起镜像漏洞扫描并读取结果 —— 扫描摘要和详细的 CVE 列表、严重性指标、顶级和随时间变化的趋势，以及按漏洞、镜像或工作负载划分的视图，包括“Vulnerabilities In Use”（运行时观测）分析。 - **Human URL:** [https://hub.armosec.io/reference/customer-api](https://hub.armosec.io/reference/customer-api) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape 运行时安全 API 读取并分类基于 eBPF 的运行时威胁检测结果 —— 列出运行时事件和警报、按严重性分组、解决/取消解决事件，并读取攻击链（攻击路径）分析和优先处理的安全风险。 - **Human URL:** [https://hub.armosec.io/reference/customer-api](https://hub.armosec.io/reference/customer-api) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape Network Policies API 生成并检索基于观察到的应用程序行为（Bill of Behavior）派生出的最小权限 Kubernetes NetworkPolicies 和 seccomp profiles。 - **Human URL:** [https://hub.armosec.io/reference/customer-api](https://hub.armosec.io/reference/customer-api) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape Registry 与 Repository 扫描 API 安排和管理容器 registry 扫描（ECR、GAR、ACR、Harbor、Quay、Nexus、GitLab）并读取 Git repository 的态势，将 Kubernetes 安全左移至 CI/CD pipelines 中。 - **Human URL:** [https://hub.armosec.io/reference/customer-api](https://hub.armosec.io/reference/customer-api) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape Access Keys API 创建、列出、检索和撤销用于通过 `X-API-KEY` 验证 Customer API 请求的 Agent Access Keys，以及管理态势和漏洞的例外策略。 - **Human URL:** [https://hub.armosec.io/docs/authentication](https://hub.armosec.io/docs/authentication) - **Base URL:** `https://api.armosec.io/api/v1` ### Kubescape 集群内组件 API (Open Source) 开源 Operator 的集群内组件每个都在集群内部暴露了一个包含 OpenAPI/Swagger 文档的 HTTP API（`/openapi/v2/swaggerui`）。没有托管的公开 endpoint —— endpoint 是建模的，而不是通过固定的公开主机调用。 - **Human URL:** [https://www.armosec.io/blog/introducing-kubescape-open-api-framework/](https://www.armosec.io/blog/introducing-kubescape-open-api-framework/) - **Base URL:** `http://:` ## 通用属性 - [GitHub 组织](https://github.com/kubescape) - [LinkedIn](https://www.linkedin.com/company/armosec) - [网站](https://kubescape.io) - [文档](https://kubescape.io/docs/) - [计划](plans/kubescape-plans-pricing.yml) - [速率限制](rate-limits/kubescape-rate-limits.yml) - [Fin Ops](finops/kubescape-finops.yml) ## 维护者 **姓名:** Kin Lane **邮箱:** kin@apievangelist.com

标签：DevSecOps, Docker镜像, Web截图, 上游代理, 安全合规, 容器安全, 日志审计, 网络代理