Debian上Kubernetes安装安全注意事项
一 基础系统与内核安全
- 关闭交换分区：Kubernetes要求关闭Swap，否则会影响kubelet调度与稳定性。执行：sudo swapoff -a，并在**/etc/fstab**中注释含“swap”的行，确保重启后依然生效。
- 启用必需的内核参数与模块：开启net.ipv4.ip_forward=1、net.bridge.bridge-nf-call-iptables=1、net.bridge.bridge-nf-call-ip6tables=1；加载overlay与br_netfilter模块，保证容器网络与网桥转发正常。
- 主机与名称解析：为每个节点设置唯一且规范的主机名（如 hostnamectl），并在**/etc/hosts**中维护节点IP与主机名的映射，避免部署阶段因解析异常导致的安全与连通性问题。
- 容器运行时选择：优先使用受支持的containerd/CRI-O。自v1.20起不再支持将Docker作为直接运行时；如使用Docker，应通过cri-dockerd等适配层提供CRI接口。
二 组件安装与系统加固
- 软件源与可信包：添加Kubernetes官方APT源并导入GPG密钥，仅从可信仓库安装kubelet/kubeadm/kubectl，降低供应链风险。
- 版本固定与升级策略：安装后使用apt-mark hold固定组件版本，避免非预期升级；制定跨版本升级与回滚预案，遵循官方支持窗口，先在非核心集群演练。
- 主机防火墙：启用UFW或nftables并仅放行必要端口（如6443 API、10250 kubelet、2379-2380 etcd、10251/10252 调度/控制管理器、10255 kube-proxy 只读端口等），最小化暴露面。
- AppArmor与系统加固：不建议粗暴禁用AppArmor；如与现有策略冲突，应编写或调整策略以覆盖kubelet/容器运行时等进程，保留强制访问控制能力。
三 集群安全基线与访问控制
- 全链路加密：集群内所有组件通信默认应使用TLS；为API Server、kubelet、etcd等启用证书与校验，避免明文或自签不当配置。
- 认证与授权：启用API Server认证（如X.509证书、ServiceAccount令牌、OIDC/LDAP等），并通过RBAC实施最小权限；结合NodeRestriction准入插件限制节点对API的访问范围。
- 匿名访问与默认绑定：安装完成后立即移除或收紧对system:anonymous的默认绑定，避免未授权访问；仅授予必要的ClusterRole/Role与ClusterRoleBinding/RoleBinding。
四 网络与运行时安全
- 网络插件与策略：部署Calico/Flannel等网络插件后，启用NetworkPolicy限制Pod-to-Pod/Service通信，遵循“默认拒绝、按需放行”原则。
- 端口与协议最小化：仅开放集群必需端口与协议（如6443/TCP API、10250/TCP kubelet、179/TCP BGP、4789/UDP VXLAN 等，具体取决于插件），并限制来源网段。
- 容器运行时安全：配置containerd使用systemd cgroup驱动，启用镜像仓库凭据与镜像拉取策略；为工作负载设置CPU/内存 requests/limits，避免资源抢占与DoS。
- 镜像与供应链安全：优先使用私有镜像仓库，对上线镜像进行漏洞扫描与签名校验；禁止使用latest标签，采用不可变版本标签与镜像策略（ImagePolicyWebhook）。
五 运维与持续安全
- 审计与监控：开启Kubernetes审计日志，集中存储与分析；部署Prometheus/Grafana与日志栈（如ELK），对API调用、节点状态、Pod异常进行持续监测与告警。
- 补丁与合规：定期更新Debian与Kubernetes组件，及时修复CVE；对kubeconfig、bootstrap token、云凭据等敏感材料实施最小权限与轮换策略。
- 安全基线核查：在初始化完成后，使用kube-bench对控制平面与工作节点进行CIS/K8s基线核查，并针对不合规项逐项整改。