集群镜像来源约束方法

镜像来源约束是集群准入控制里最底层的一道闸门，它校验的不是“这个镜像能不能跑”，而是“这个镜像是谁、从哪来、有没有被篡改过”，生产环境里，只配一个可信仓库列表远远不够，需要仓库域名白名单、镜像签名校验、资源层面策略拦截三者配合,缺一个都可能被绕过，镜像来源约束和准入控制到底有什么区别这个疑问在很多运维群里被反复……