在 Debian 上保障 Kubernetes 安全性的系统化做法
一 主机与内核安全基线
- 保持系统与组件持续更新：执行apt update && apt upgrade -y，并对 kubelet/kubeadm/kubectl 使用 apt-mark hold 固定版本，配合变更窗口进行升级与回滚演练。
- 关闭 Swap：执行swapoff -a 并在 /etc/fstab 注释 swap 行，满足 Kubernetes 1.8+ 要求，避免 kubelet 异常与稳定性风险。
- 加载必需内核模块并开启转发与桥接过滤：
- 模块：br_netfilter、ip_vs、ip_vs_rr、ip_vs_wrr、ip_vs_sh、nf_conntrack
- sysctl：net.bridge.bridge-nf-call-iptables=1、net.ipv4.ip_forward=1，执行 sysctl --system 生效。
- 容器运行时：安装并配置 containerd，在 /etc/modules-load.d/containerd.conf 中加入 overlay、br_netfilter，确保与 kubelet 使用同一容器运行时与 cgroup 驱动。
- 系统加固：精简不必要组件（如 ufw、lxd、lxc 等），设置 systemd 资源与日志参数（如 DefaultLimitNOFILE/DefaultLimitNPROC、journald 持久化与大小上限），降低被滥用风险并便于取证。
二 集群搭建与传输安全
- 软件源与安装：添加 Kubernetes APT 仓库，安装并固定 kubelet/kubeadm/kubectl，避免非受控源引入风险组件。
- 初始化与网络：使用 kubeadm init 指定 Pod CIDR（如 10.244.0.0/16），按需部署 Flannel/Calico 等网络插件；若使用 Calico，放行 BGP 179/TCP、VXLAN 4789/UDP 等端口。
- 端口与边界：通过 UFW 或云安全组仅开放必要端口，如 6443/TCP（API Server）、10250/TCP（kubelet）、2379-2380/TCP（etcd）、10251-10252/TCP（scheduler/controller-manager） 等，最小化暴露面。
- 认证与加密：启用 TLS Bootstrapping 自动为节点与组件签发证书，避免明文凭据；为 kubeconfig 设置最小权限与文件权限（如 600），并限制 API Server 的对外访问来源。
三 运行时与访问控制
- 身份与授权：全量使用 RBAC 按“最小权限原则”授予权限，按命名空间划分边界，定期审计并清理不再使用的 Role/ClusterRole/RoleBinding/ClusterRoleBinding。
- 准入控制：启用 Pod Security Admission（PSA） 或合适的准入控制器，统一约束 runAsNonRoot、readOnlyRootFilesystem、privileged、hostPath、hostNetwork 等高风险字段，替代已弃用的 PodSecurityPolicy。
- 网络策略：部署 NetworkPolicy 控制器（如 Calico），对命名空间与关键业务实施默认拒绝（Default Deny），仅对白名单流量放通，减少横向移动。
- 运行时防护：启用 seccomp/AppArmor 等系统调用与强制访问控制；镜像使用可信源并启用镜像签名校验；为敏感工作负载启用 Pod Security Standards 的 restricted 级别。
四 可观测性 备份与持续合规
- 审计与日志：开启 Kubernetes 审计日志，集中到 Elasticsearch/Logstash/Kibana（ELK） 或兼容方案，结合 Prometheus/Grafana 建立指标与告警，覆盖 API 异常、节点资源、网络策略命中率等关键信号。
- 备份与恢复：定期备份 etcd 与控制面配置，验证恢复流程与 RPO/RTO；对应用与配置使用 GitOps 管理，确保可审计与可回滚。
- 合规与扫描：使用 Kubescape 等工具进行集群安全态势评估、RBAC 可视化与镜像漏洞扫描，形成持续合规与整改闭环。