很多集群在部署时使用了简化配置，为了快速上线关闭了认证、扩大了权限或直接暴露了管理接口。这些简化在后续很难被发现，却构成了长期风险。建立并执行一份基线，是控制集群安全水位最经济的方式。
API Server是集群的统一入口，一旦被控制，整个集群等同于沦陷。加固要点包括：禁用匿名访问，确保所有请求都经过认证；限制访问来源，管理接口不对公网开放，通过受控通道访问；启用审计日志并确保日志写入到集群外的存储，避免被攻击者删除；对授权模式使用基于角色的访问控制，避免启用过宽的授权模式；限制对特殊接口的访问，禁止普通用户使用代理与执行类接口。
etcd存储集群全部状态，包括密钥对象的加密前内容。要点包括：启用客户端到服务端的加密传输并校验证书；开启静态加密，使存储介质中的数据不可直接读取；限制网络访问，仅允许控制面组件连接；做好备份并验证可恢复性，同时把备份文件视为高敏感数据管理。
RBAC的问题往往出在长期积累。建议定期做权限复核，重点排查：绑定到集群管理角色的服务账号；权限范围过大的自定义角色，例如允许对全部资源执行全部动作；默认服务账号被赋予额外权限；以及为方便调试而临时创建后未清理的绑定。服务账号应与其工作负载绑定，最小化权限范围，并对敏感操作要求更强认证。
基线需要自动化校验。建议把检查项固化为脚本或策略引擎，在集群变更时自动评估并告警。准入控制层面可以阻止明显违规的资源配置进入集群。
集群安全基线不需要一次做到完美，但需要持续校验。把基线纳入变更流程，比每季度做一次人工复查更有效。
售后客服
企业微信
