DevOps平台安全加固：Kubernetes生产环境实战

场景

某电商平台Kubernetes集群（v1.28）近期出现异常——持续集成流水线异常中断，部分Pod被删除。安全审计发现：一个非管理员ServiceAccount拥有cluster-admin权限，且存在未授权的API调用。团队需要立即加固集群安全。

症状

• 非预期Pod删除或重启
• 审计日志中来自未知用户的API调用
• RBAC绑定出现高危权限
• 敏感Secret被意外曝光

诊断

1. 检查RBAC权限： bash kubectl get clusterrolebindings -o wide | grep -v system: kubectl get rolebindings --all-namespaces -o wide
2. 审计日志：启用日志审计，筛选可疑活动： bash kubectl logs -n kube-system kube-apiserver --tail=1000 | grep -E "User|verb=delete|verb=create"
3. 查看Pod安全策略（PSP）或Pod安全准入（PSA）： bash kubectl get psp -A kubectl get podsecurityconfiguration -A
4. 检查Secrets使用： bash kubectl get secrets --all-namespaces | grep -E "token|cert|pass"

命令（加固操作）

1. 删除高危ClusterRoleBinding： bash kubectl delete clusterrolebinding malicious-binding
2. 应用最小权限RBAC： yaml apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: namespace: production name: readonly rules: - apiGroups: [""] resources: ["pods", "services"] verbs: ["get", "list", "watch"]
3. 启用Pod安全标准（基线）： bash kubectl label ns production pod-security.kubernetes.io/enforce=baseline
4. 配置网络策略： ```yaml apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: deny-all namespace: production spec: podSelector: {} policyTypes:
   • Ingress
   • Egress ```
5. 轮换密钥： bash kubectl delete secret my-secret kubectl create secret generic my-secret --from-literal=key=NEW_VALUE

风险控制

• 所有操作先在非生产环境验证。
• 变更前备份现有RBAC和网络策略： bash kubectl get clusterrolebindings -o yaml > backup-clusterrolebindings.yaml kubectl get networkpolicies --all-namespaces -o yaml > backup-networkpolicies.yaml
• 使用kubectl auth can-i检查权限： bash kubectl auth can-i create deployments --as=system:serviceaccount:production:my-sa

回滚

• 恢复RBAC： bash kubectl apply -f backup-clusterrolebindings.yaml
• 恢复网络策略： bash kubectl apply -f backup-networkpolicies.yaml
• 撤销Pod安全标签： bash kubectl label ns production pod-security.kubernetes.io/enforce-

验证

• 确认RBAC收紧： bash kubectl auth can-i delete pods --as=system:serviceaccount:production:app-sa
• 检查网络隔离： bash kubectl exec -n production test-pod -- curl -m 3 http://other-service 应超时
• 确认Secret不再暴露： bash kubectl get secrets --all-namespaces -o json | jq '.items[] | select(.type=="Opaque") | .data | keys'

何时提交OpsGlobal工单

• 集群面临持续攻击且无法自行止血。
• 需要应急P0级响应（如权限被攻破）。
• 集群安全合规审计（SOC2、PCI）需要专家评估。
• 缺乏内部Kubernetes安全专家时。

OpsGlobal提供7×24小时远程SRE支持，快速诊断与修复，保障平台安全。