DevOps安全加固：Ops/SRE平台的RBAC与Pod安全实践

场景

某SRE团队管理多个Kubernetes集群，默认RBAC配置允许开发人员创建具有特权模式的Pod。安全审计发现，有恶意Pod通过挂载宿主机目录获取了节点访问权限。

症状

• 集群中出现未知Pod，并绑定到节点目录。
• 审计日志显示非管理员用户使用了privileged: true或hostPID: true。
• 安全扫描工具报告Pod安全策略缺失。

诊断

1. 检查RBAC绑定：kubectl get clusterrolebindings -o wide，查看是否有宽泛的cluster-admin绑定。
2. 检查PodSecurityPolicy（PSP）或Pod Security Admission（PSA）状态：kubectl get psp或kubectl get admissionregistration.k8s.io/v1/mutatingwebhookconfigurations。
3. 审计Pod规格：kubectl get pods --all-namespaces -o jsonpath="{range .items[*]}{.metadata.name}{'\t'}{.spec.containers[*].securityContext.privileged}{'\n'}{end}"。

加固命令

1. 应用Pod安全标准（PSA）：kubectl label ns default pod-security.kubernetes.io/enforce=restricted。
2. 创建最小RBAC：为开发人员绑定仅包含get、list权限的Role，避免cluster-admin。

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: developer-restricted
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

1. 删除高危ClusterRoleBinding：kubectl delete clusterrolebinding <name>。

风险控制

• 在非生产环境测试PSA标签，避免影响运行中的工作负载。
• 逐步应用，使用audit模式先记录违规，再切换为enforce。
• 保留管理员紧急通道（如break-glass账号）。

回滚

• 撤销PSA标签：kubectl label ns default pod-security.kubernetes.io/enforce-。
• 恢复RBAC：重新应用之前的RoleBinding备份。

验证

• 检查Pod创建是否被PSA拒绝：kubectl run test --image=nginx --privileged应返回错误。
• 确认非管理员无法列出集群机密：kubectl get secrets --as=developer。

何时提交OpsGlobal工单

• 集群规模超过20个节点，需要统一策略管理。
• 需要自定义准入控制器或动态安全策略。
• 安全合规要求（如PCI-DSS）需专业审计报告。