Linux 上 Kubernetes 的安全性保障
一 身份与访问控制
- 启用并正确配置 RBAC：以 最小权限原则 设计权限，优先使用 Role/RoleBinding 做命名空间内授权，跨命名空间或集群范围才使用 ClusterRole/ClusterRoleBinding；避免使用高危的 cluster-admin，定期审计绑定关系与权限边界。
- 精细化身份与准入：API Server 启用 TLS；对接 OIDC/LDAP/Webhook 等统一身份源；为应用创建专属 ServiceAccount，并遵循“每个应用一个 SA”。
- 控制 ServiceAccount 风险：对不需要访问 API 的 Pod，设置 automountServiceAccountToken: false；清理不必要的 default ServiceAccount 绑定，防止权限扩散。
- 权限验证与排查：使用 kubectl auth can-i --list --as=system:serviceaccount:: 验证权限；结合审计日志与工具（如 who-can）持续审查。
二 网络与通信安全
- 默认拒绝与白名单：为各命名空间设置“默认拒绝所有入/出站”的 NetworkPolicy，仅对显式规则放行，缩小攻击面、抑制横向移动。
- 命名空间与标签驱动分段：以 podSelector / namespaceSelector / ipBlock 精确描述“谁可以访问谁、哪些端口/协议”，实现微服务间最小连通。
- 选择支持策略的 CNI：部署支持 NetworkPolicy 的插件（如 Calico、Cilium）；在需要更高性能与可观测时，可采用基于 eBPF 的方案（如 Cilium），并可扩展到 L7 策略。
- 典型落地顺序：先“基线默认拒绝”，再按“平台策略（如允许 DNS/日志）→ 业务策略（前端→后端、后端→数据库）→ 外部依赖（支付/第三方 API）”分层叠加。
三 容器与主机内核安全
- 容器运行时最小权限：在 SecurityContext 中设置 runAsNonRoot: true、runAsUser/runAsGroup、fsGroup；drop ALL capabilities 并按需 add 最小能力（如 NET_BIND_SERVICE）；关闭 allowPrivilegeEscalation；避免使用 privileged 与共享主机命名空间（hostPID/hostIPC/hostNetwork）。
- 系统调用与强制访问控制：启用 seccomp（优先 RuntimeDefault，必要时自定义白名单）；在支持的发行版上启用 AppArmor/SELinux 配置，限制进程对文件、网络、能力等资源的访问。
- 渐进式落地与运维：先在 complain 模式 审计策略影响，再切 enforce；使用 Security Profiles Operator 统一管理 seccomp/AppArmor/SELinux 等安全配置，降低运维复杂度。
四 镜像、密钥与数据安全
- 镜像供应链安全：优先使用 私有镜像仓库，启用 镜像扫描 与 可信源 校验，及时修补漏洞镜像；避免在生产环境拉取不可信公共镜像。
- 密钥与敏感信息管理：使用 Secrets 管理凭据，避免以环境变量明文存放；结合 RBAC 控制对 Secret 的访问；对静态数据与传输数据启用 加密（etcd 数据静态加密、节点间/组件间 TLS）。
- 审计与监控：开启 审计日志 记录关键 API 调用；结合 Prometheus/Grafana 等监控异常行为，联动告警与取证。
五 治理与运维安全
- 持续更新与补丁：保持 Kubernetes 与 Linux 内核/容器运行时 为受支持的稳定版本，及时修复 CVE；建立变更评审与灰度机制。
- 节点与系统加固：遵循 最小权限 配置 Linux（关闭不必要的服务/端口、最小 sudo 权限、加固 SSH 等）；为节点打上污点/容忍度，隔离敏感工作负载。
- 安全基线与演练：制定集群 安全基线 与 合规检查清单（如 CIS/K8s Benchmarks），定期执行渗透测试与红蓝对抗演练，验证纵深防御有效性。