Linux 上 Kubernetes 部署的安全性保障
一 基础架构与主机加固
- 保持组件与内核为最新稳定版本，及时修补漏洞；将 Kubernetes 升级到稳定版并使用稳定 API，可显著降低已知风险与攻击面。
- 主机基线遵循 CIS Docker/Kubernetes 基线，对 Docker 守护进程、Kubelet、API Server 等逐项加固；对关键目录与进程实施最小权限与完整性校验。
- 强化 Linux 内核能力：合理使用 Namespace/Cgroups/Capabilities/Seccomp，遵循最小权限原则，避免以 root 运行容器进程。
- 提升容器隔离边界：对高风险或不可信负载采用安全容器（如 Kata Containers、gVisor），以虚拟机级隔离减少容器逃逸与侧信道风险。
- 节点与网络：仅暴露必要端口，启用 TLS 全链路加密；对管理平面与业务流量进行网络分段与访问控制。
二 身份、访问与准入控制
- 启用 RBAC 并实施最小权限与职责分离；按命名空间划分权限域，避免集群级过度授权。
- 对 Kubelet、kube-apiserver、kube-controller-manager、kube-scheduler 等组件启用客户端证书认证与相互 TLS，仅在内网或受控通道暴露 API。
- 安全配置关键组件：
- kube-scheduler：将 –profiling 设为 false，–address 绑定 127.0.0.1 减少暴露面。
- kube-controller-manager：启用 –use-service-account-credentials，设置 –root-ca-file，并按需开启 RotateKubeletServerCertificate。
- etcd：启用 –cert-file/–key-file、–client-cert-auth=true，集群间通信启用 –peer-cert-file/–peer-key-file 与 –peer-client-cert-auth=true，避免自签与明文通信。
- 准入控制与镜像治理：
- 启用准入控制器（如 NodeRestriction、ResourceQuota、LimitRanger、ServiceAccount、AlwaysPullImages、DenyEscalatingExec 等），在创建阶段阻断特权容器、特权挂载、危险执行等行为。
- 通过 ImagePolicyWebhook 或镜像签名校验，阻止未扫描/未签名/不可信仓库的镜像进入集群。
三 镜像与供应链安全
- 构建阶段：仅使用可信基础镜像，最小化软件包与依赖；构建过程扫描漏洞与敏感信息（密钥、令牌），并生成SBOM 以便追溯。
- 仓库阶段：优先使用私有镜像仓库，启用镜像签名与HTTPS；对上传/拉取进行完整性校验与可信源约束。
- 分发阶段：通过 HTTPS + 镜像签名 抵御中间人攻击与镜像篡改；在 CI/CD 中落地签名验证与准入拦截。
四 网络与运行时防护
- 网络策略：使用 NetworkPolicy 实现 Pod 间与命名空间间的默认拒绝（default-deny）与白名单通信；选择支持策略的插件（如 Calico、Cilium、Kube-router、Weave Net）。
- 东西向流量治理：对数据库、缓存、内部 API 等敏感服务实施零信任访问，仅允许明确来源与端口；对出口流量进行域名/端口白名单控制。
- 运行时安全：
- 通过 securityContext 设置 runAsNonRoot、ReadOnlyRootFilesystem、allowPrivilegeEscalation=false、drop capabilities 等，缩小攻击面。
- 部署 运行时检测/入侵检测（如 Falco、Sysdig）识别异常进程、特权调用、文件系统篡改等行为并联动阻断。
- 对高敏感负载采用安全容器（Kata/gVisor）或在节点层面实施更强的隔离与审计。
五 审计、监控与持续合规
- 审计与日志：开启 Kubernetes 审计日志，集中采集 API Server、kubelet、控制平面组件 与容器 stdout/stderr 日志，保留足够周期以支持取证与合规。
- 监控与告警：使用 Prometheus + Grafana 监控 节点资源、Pod 状态、网络连通性 与安全事件；对证书即将过期、策略违规、异常连接设置即时告警。
- 合规与基线：定期运行 kube-bench / CIS 基线 检查，对不合规项自动生成整改工单并纳入变更流程；将镜像扫描、准入拦截、策略评估纳入 DevSecOps 流水线，实现构建-部署-运行的全生命周期防护。
