DevOps/SRE平台安全加固实战：Kubernetes集群防护指南

场景

某电商平台Kubernetes集群因RBAC配置过于宽松，导致一名开发人员误删关键命名空间中的Deployments，造成线上服务中断30分钟。事后排查发现该开发人员拥有集群管理员权限，且未启用网络策略和Pod安全策略。

症状

• 非管理员用户意外删除生产资源
• 恶意容器逃逸或资源滥用
• 网络流量被拦截或异常访问

诊断

# 检查当前RBAC绑定
kubectl get rolebindings,clusterrolebindings --all-namespaces -o wide

# 检查Pod安全标准违规
kubectl get pod --all-namespaces -o json | jq '.items[] | {name: .metadata.name, ns: .metadata.namespace, securityContext: .spec.containers[].securityContext} | select(.securityContext.privileged == true or .securityContext.runAsUser == 0)'

# 验证NetworkPolicy覆盖率
kubectl get networkpolicies --all-namespaces | grep -v "NAMESPACE" | awk '{print $1}' | sort | uniq -c

安全加固步骤

1. RBAC最小权限原则

# 创建只读角色
kubectl create role read-only --verb=get,list,watch --resource=pods,services --dry-run=client -o yaml > read-only-role.yaml
kubectl apply -f read-only-role.yaml

# 绑定到用户
kubectl create rolebinding dev-readonly --role=read-only --user=dev-user --namespace=default

2. 实施NetworkPolicy

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
  namespace: production
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

3. 启用Pod Security Admission

# 在命名空间标签启用基线策略
kubectl label ns production pod-security.kubernetes.io/enforce=baseline

风险控制

• 变更前快照RBAC和NetworkPolicy：kubectl get clusterrolebindings -o yaml > backup-rbac.yaml
• 使用Canary部署测试网络策略
• 开启审计日志：kubectl logs kube-apiserver -n kube-system | grep audit

回滚

# 恢复RBAC绑定
kubectl delete rolebinding dev-readonly -n default
kubectl apply -f backup-rbac.yaml

# 删除NetworkPolicy
kubectl delete networkpolicy default-deny -n production

验证

# 测试权限
kubectl auth can-i delete pods --as=dev-user -n production

# 测试网络隔离
kubectl run test-pod --image=busybox --rm -it -- wget -O- http://other-service

何时提交OpsGlobal工单

• 集群遭受攻击或数据泄露
• 安全策略导致大面积服务中断
• 需要专业渗透测试或合规审计